【实验原理】
Cobalt Strike是一款用于模拟红队攻击的软件,其目标是致力于缩小渗透测试工具和高级威胁恶意软件之间的差距。
Cobalt Strike 作为一款后渗透工具,可以完成侦查、鱼叉式钓鱼、浏览器代理等攻击。Cobalt Strike 分为客户端 与服务器两部分,服务器端被称之为 Team Server,Team Server 既是 Beacon payload 的控制器,也是 Cobalt Strike 提 供社工功能的主机,Team Server还存储了Cobalt Strike 收集的数据以及日志记录。
【实验设备】
主机终端:
IP地址 | ||
CS服务端 | kali2020 | 192.168.2. |
CS客户端 | windows2008 | 192.168.2.5 |
目标主机 | windows7 | 192.168.2.20 |
【实验步骤】
1.打开CS服务端的终端,切换目录至Cobalt Strike工具的目录下,然后启动CS服务器,代码:
cd cs/
./teamserver 192.168.2.10 123456
2.打开CS客户端,进入所上传 cs 客户端文 件夹下,双击 cobaltstrike.bat 程序(出现的黑色弹窗不要关闭),启动客户端。进入 Connect 对话框,设置主机为 192.168.2.10,查看前面生成端口12345,用户名为随意输入,这里输入 neo,密码为teamserver预设的密码 123456,进行连接。
3.制作木马文件。单击菜单栏中【攻击】 →【生成后门】→Windows Executable 选项,制作 exe 木马。
4.弹出 Windows Executable 对话框,由于目标系统为 64 位,所以需将【使用 x64 payload】前的复选框选中。 再单击 Add 按钮,添加监听器,
5.在 New Listener 对话框中,输入名字 test ,端口 4444,单击 Save 按 钮。弹出【输入】对话框,单击【确定】按钮。
6.设置完毕后,单击 Generate 按钮。将文件保存至桌面即可。
7.win+r输入cmd打开命令窗口,执行命令 cd Desktop,将目录切换至木马文件所在目录。再执行 命令 python -m SimpleHTTPServer 8080, 使用 Python 开启一个简单的 web 服务,端口为 8080。
cd Desktop
python -m SimpleHTTPServer 8080
8.诱骗目标主机下载木马文件。双击桌面左侧的 Google Chrome 图标,打开浏览器,访问 CS 客户端的web 服务 192.168.2.5:8080,单击页面中的 artifact.exe 文件,将其下载到本地
保留
9.打开下载文件夹,双击下载的 artifact.exe 文件,单击【打开文件-安 全警告】对话框中的【运行】按钮,运行木马程序。
10.进入 CS 客户端,可以看见目标主机会话已上线。
11.由于后续操作需要使用 system 权限,因此要进行提权。右击会话,选择【执行】→【提权】选项。
12.在弹出的 Elevate 对话框中单击【开始】按钮,等待几分钟,就能获取 system 权限。