CobaltStrike的安装配置及使用，实现office钓鱼

渗透学习

信息收集工具指南2

---

---

前言

本系列用于记录本人渗透学习的过程，主要内容围绕Owasp TOP 10展开。

信息收集工具指南2将主要介绍渗透测试软件Cobalt Strike的安装和使用，以及利用其进行office钓鱼。

本文只做学习用途，严禁利用本文提到的技术进行非法攻击，否则后果自负，本人不承担任何责任。

一、Cobalt Strike

Cobalt Strike是一款渗透测试软件，分为N个客户端与1个服务端，可以进行团队分布式操作，是渗透红队的必备工具。

Cobalt Strike集成了功能和模块：
1.端口转发
2.扫描多模式端口Listener
3.Windows exe程序生成
4.Windows dll动态链接库生成
5.java程序生成
6.office宏代码生成

1.安装配置

下载Cobalt Strike（链接）

使用chmod +x teamserver给teamserver赋予执行权限

启动服务端：
./teamserver ‘本机IP’ ‘团队接入口令’

在客户端运行CobaltStrike.exe
输入服务器IP，默认端口50050，自定义用户，口令

成功登录后进入操作界面

2.攻击实践

创建监听端口。点击左上角CobaltStrike菜单中的Listeners。

下方会出现listeners标签，点击Add按钮，在弹出的新建监听器中，输入相关设置参数。图中为该监听器命名为Listenner，选择payload为windows/beacon_http/reverse_http,设定主机为服务器的IP地址，端口为8808。该配置是在服务端会启动一个端口为8808的http服务，用于受害机主动连接服务器。

监听开始，服务器处也会显示

生成可执行文件，用于在受害机上运行。选择windows Executable选项

在弹出框中，选择对应的监听器（此处我们只建了一个监听器，会默认已选择）和输出的文件格式，此处我们选择exe文件类型。

选择生成文件保存位置，此时就会触发系统自带的防毒软件。投递恶意文件。攻击方投递恶意的途径较多，比如诱导受害者在网站上下载，钓鱼邮件等。此处我们模拟一个网站，在受害机上访问并下载该文件。

使用python http服务模块工具，在本地启动一个http服务。如下图所示。

图中，我们将恶意文件的路径设为网站的根目录，网站的对外端口为8899。此时，在受害机上访问该地址，并下载该文件。

受害机执行时，操作系统会提示风险，保持执行。点击后，界面无任务回显，而此时CS端已显示受害机器已上线。

至此，CS的一次使用实例结束。这篇文章有更多受害机上线的的案例和通过CrossC2上线Linux的例子，有兴趣的可以去学习一下。

二、Office钓鱼

制作携带宏脚本的office word文档，并在受害机上运行后，成功控制受害机。

同样设置监听，端口设置为65533。

制作office宏脚本文件，选择attacks中的packages,在展开的菜单中选择MS Office Maco。

点击生成后，弹出宏文件制作步骤说明。

按照步骤说明，打开一个word文档，选择视图中的宏，在下拉菜单中，选择查看宏。

在宏的位置处，选择当前文档，创建宏。

在弹出的宏框中，清除原有宏的内容。然后，点击CS中的Copy Macro(复制宏)，并粘贴至文档的宏框中。

然后，保存为一个启动宏的word文档（此处可以先保存为后缀为docm文档，保存成功后，去掉后缀中的m即可。

实验环境下，我们将制作好的文档，复制到受害机中，实际的攻击场景中，可通过邮件、社工等方式，完成样本投递。只要受害机点击我们的文件并启动宏，就会在我们这上线。

如果对相关后续操作感兴趣，可以阅读这篇文章。

---

总结

Cobalt Strike是一款非常好用的渗透测试软件，能够通过构造很多种类型的“陷阱”来让受害者中招。在学习到攻击方式的同时，也要有安全意识，防范未知的链接。CS还能通过设置监听端口和msf进行联动，在meterperter进行后渗透攻击，有兴趣的可以进一步学习。