简单免杀绕过和利用上线的 GoCS

前言： Goby 可以快速准确的扫描资产，并直观呈现出来。同时经过上次 EXP 计划过后，PoC&EXP 也增加了许多。在实战化漏洞扫描后，对于高危漏洞的利用，不仅仅只在 whoami 上，而是要进入后渗透阶段，那么对于 Windows 机器而言，上线 CS 是必不可少的操作，会让后渗透如鱼得水。此插件只运用了简单的利用方式上线 CS，希望师傅们能够提供想法和建议把它更为完善，源码中有详细的注释，可供师傅们快速理解。

0×01 插件使用

1.1 插件效果

1.2 使用方法
1.在工具栏导入 CS 的 32 位 RAW 的 payload 文件 (attacks – > packages – > payload generator – > output:raw 后缀为 bin)，将免杀后的文件放入 VPS 中。

2.在 Goby 插件配置中设置 VPS 免杀文件地址，在实际使用中也可以进行实时的更改。

3.在漏洞利用详情页中点击 GoCS

4.选择一个利用方式和文件形式,根据实际情况更改 payload 进行绕过拦截

点击 GO 即可发包利用

注：现无法只在目标为 Windows 的机器才显示该插件，还需要用户自己判断一下。

0×02 插件开发

2.1 主体框架

├── .gitignore          // 忽略构建输出和node_modules文件
├── README.md           // 插件介绍文档
├── CHANGELOG.md        // 插件更新日志文档
├── src
│   └── CS.png         //CS的图片
│   └── assets   //layui
│   └── extension.js      // 插件源代码
│   └── Gopass.html    //工具栏制作免杀xsl文件
│   └── GoCS.html      //漏洞利用页面进行发包利用上线CS
├── package.json         // 插件配置清单
├── node_modules      //引入模块

2.2 它们的爷爷 package.json
该插件由工具栏的 GoPass.html 和漏洞利用的 index.html 进行大部分工作，所以我先简单介绍它们的爷爷 package.json

2.3 它们的爸爸 extension.js
具体注释在源代码中，在 Goby 中下载 GoCS 后可在根目录下 \extensions 中找到，这只分析重点。
这个页面是父页面(我的理解)在引入模块时直接引用 let fs = require(‘fs’)；或者加 parent 也可以。

点击 Command 为 GoPass 后进行的操作来跳出 GoPass.html：

//在工具栏的图标点击过后入口
goby.registerCommand('GoPass',function(content){
   
    //获取子页面路径
    let path = __dirname + "/GoPass.html"
    //打开子页面并配置长宽
    goby.showIframeDia(path, "GoPass", "666", "500");

})
//在工具栏的图标点击过后结束

进行发包和利用 EXP 的代码：

  //此段代码是摘取Go0p师傅的Goby_exp插件源码

    //创建Gexp类进行发包获取漏洞详情和利用漏洞
    class Gexp {
   
    //引入包和模块
      constructor() {
   
        this.fs = require(