一、Cobalt Strike简单介绍
Cobalt Strike(简称CS)是一个为对手模拟和红队行动而设计的平台,主要用于执行有目标的攻击和模拟高级威胁者的后渗透行动,分为服务器和客户端。
二、安装启动教程
环境要求
1、客户端,服务端都需要Java环境
2、服务端必须安装在Linux系统上
3、CS服务端:kaili
4、CS客户端:win10
cs服务端启动
cs4.0 百度网盘链接:https://pan.baidu.com/s/1dmCrRl2xWvDUXIJAFYBMqQ?pwd=qwer
提取码:qwer
下载完cs4.0之后,将文件夹复制到 kali,执行teamserver文件,即可安装启动cs服务端
./teamserver 192.168.1.1(kali的IP地址) 12345(密码随便设)
如图进入cs4.0的文件夹,运行服务端
然后在客户端输入kali的IP地址及刚设置的密码进行连接,端口保持默认就可以 ,用户名随意。
cs客户端成功启动后如下图所示,开始生成后门exe可执行文件。
选择监听器kali,这里如果是64位的电脑,勾选上使用64 payload。
将生成的exe文件保存到任意路径下。
这里我伪装了一下exe文件的图标和名称。双击运行后,可以看到成功上线。
通过shell命令可以查看到上线电脑的IP地址等。
这里通过利用OLa的插件演示下部分功能,比如(上线机器中登录的QQ)
可以看到成功获取到当前上线机器上登陆的QQ号码
这里可以通过弹出安全认证框,钓鱼🎣获取到用户名密码。
这里先通过获取扫描连接过的WiFi,获取某一个WiFi的密码。
用任意一个WiFi举例,这里用(yihong)。
输入WiFi名字,获取密码。
通过命令screenshot获取当前界面屏幕截图。
还有很多功能这里不一一展示咯。
工具栏说明
指令大全:
browserpivot 注入受害者浏览器进程
bypassuac 绕过UAC
cancel 取消正在进行的下载
cd 切换目录
checkin 强制让被控端回连一次
clear 清除beacon内部的任务队列
connect Connect to a Beacon peerover TCP
covertvpn 部署Covert VPN客户端
cp 复制文件
dcsync 从DC中提取密码哈希
desktop 远程VNC
dllinject 反射DLL注入进程
dllload 使用LoadLibrary将DLL加载到进程中
download 下载文件
downloads 列出正在进行的文件下载
drives 列出目标盘符
elevate 尝试提权
execute 在目标上执行程序(无输出)
execute-assembly 在目标上内存中执行本地.NET程序
exit 退出beacon
getprivs Enable system privileges oncurrent token
getsystem 尝试获取SYSTEM权限
getuid 获取用户ID
hashdump 转储密码哈希值
help 帮助
inject 在特定进程中生成会话
jobkill 杀死一个后台任务
jobs 列出后台任务
kerberos_ccache_use 从ccache文件中导入票据应用于此会话
kerberos_ticket_purge 清除当前会话的票据
kerberos_ticket_use 从ticket文件中导入票据应用于此会话
keylogger 键盘记录
kill 结束进程
link Connect to a Beacon peerover a named pipe
logonpasswords 使用mimikatz转储凭据和哈希值
ls 列出文件
make_token 创建令牌以传递凭据
mimikatz 运行mimikatz
mkdir 创建一个目录
mode dns 使用DNS A作为通信通道(仅限DNS beacon)
mode dns-txt 使用DNS TXT作为通信通道(仅限D beacon)
mode dns6 使用DNS AAAA作为通信通道(仅限DNS beacon)
mode http 使用HTTP作为通信通道
mv 移动文件
net net命令
note 备注
portscan 进行端口扫描
powerpick 通过Unmanaged PowerShell执行命令
powershell 通过powershell.exe执行命令
powershell-import 导入powershell脚本
ppid Set parent PID forspawned post-ex jobs
ps 显示进程列表
psexec Use a service to spawn asession on a host
psexec_psh Use PowerShell to spawn asession on a host
psinject 在特定进程中执行PowerShell命令
pth 使用Mimikatz进行传递哈希
pwd 当前目录位置
reg Query the registry
rev2self 恢复原始令牌
rm 删除文件或文件夹
rportfwd 端口转发
run 在目标上执行程序(返回输出)
runas 以另一个用户权限执行程序
runasadmin 在高权限下执行程序
runu Execute a program underanother PID
screenshot 屏幕截图
setenv 设置环境变量
shell cmd执行命令
shinject 将shellcode注入进程
shspawn 生成进程并将shellcode注入其中
sleep 设置睡眠延迟时间
socks 启动SOCKS4代理
socks stop 停止SOCKS4
spawn Spawn a session
spawnas Spawn a session as anotheruser
spawnto Set executable tospawn processes into
spawnu Spawn a session underanother PID
ssh 使用ssh连接远程主机
ssh-key 使用密钥连接远程主机
steal_token 从进程中窃取令牌
timestomp 将一个文件时间戳应用到另一个文件
unlink Disconnect from parentBeacon
upload 上传文件
wdigest 使用mimikatz转储明文凭据
winrm 使用WinRM在主机上生成会话
wmi 使用WMI在主机上生成会话
argue 进程参数欺骗