用途：当捕获到 Cobalt Strike、Sliver、Havoc 等 C2 框架的 Beacon 样本、内存 dump 或网络流量时，用于识别框架并提取配置情报，同时可从红队视角了解 Beacon 会泄露哪些配置，从而定制 Malleable Profile、加强 C2 OPSEC。
主要能力：按阶段处理。一，通过 YARA 规则、字符串特征（如 beacon、sleeptime、jitter、watermark、pipe 对应 CS；sliver、implant、mtls、wg 对应 Sliver；havoc、demon、teamserver 对应 Havoc）识别框架。二，从样本中提取 CS Beacon 配置，首选 dissect.cobaltstrike 的 BeaconConfig.from_path 解析，自动提取 C2 域名、端口、Sleep、Jitter、User-Agent、Watermark、SpawnTo、PipeName、BeaconType 等字段；工具失败时可手动 XOR 解密（CS4 密钥 0x2e、CS3 密钥 0x69）并按 TLV 格式解析（字段表含 BeaconType、Port、SleepTime、Jitter、C2Server、UserAgent、PostURI、Watermark、PipeName、SpawnTo_x64/x86 等）。三，内存扫描，可用 Volatility3 的 windows.memmap 导出进程内存，再用 1768.py、CobaltStrikeParser、BeaconEye 扫描。四，流量分析，从配置推导 HTTP(S) URI 路径、UA、Host、心跳间隔，DNS 查询模式与子域名编码，SMB 命名管道，TCP 端口与协议特征，并生成 Suricata 等检测签名。
使用方式与工具：按样本类型进入对应阶段，PE/DLL、Shellcode 走配置提取，内存 dump 与 MiniDump 走内存扫描，PCAP 走流量解码。常用命令如 yara -r c2_rules.yar sample.bin、vol3 -f memory.dmp windows.memmap --pid <PID> --dump、python3 1768.py -f memory.dmp、python3 parse_beacon_config.py memory.dmp。
适用场景与限制：适用于红队 OPSEC 反思与蓝队检测情报提取；资料涉及的深入参考为 references/cs-beacon-decrypt.md 与 references/modern-c2-analysis.md。限制与更多细节暂未提供。