[笔记]攻防工具分享之 CobaltStrike框架《二》生成后门

最新推荐文章于 2024-06-19 15:30:00 发布

二进制怪兽

最新推荐文章于 2024-06-19 15:30:00 发布

阅读量787

点赞数

分类专栏：工具安全文章标签： windows 服务器运维

本文链接：https://blog.csdn.net/qq1113673178/article/details/126204154

版权

工具同时被 2 个专栏收录

12 篇文章 2 订阅

订阅专栏

安全

10 篇文章 1 订阅

订阅专栏

参考：

https://wbglil.gitbook.io/cobalt-strike/cobalt-strikeji-ben-shi-yong/jian-ting-qi-listener

https://blog.csdn.net/qq_44159028/article/details/118157559

前言

配置监听

默认会有一个已经建立的好的监听配置

我们可以修改它或者添加一个新的监听配置

添加监听

在这里插入图片描述

配置相关信息

在这里插入图片描述

值得注意的是,Http端口有时候需要多尝试更换有的端口通信会有问题,Bind端口是CS绑定接收消息的端口.

在这里插入图片描述

Windows Executable & Windows Executable(S)
这两个模块直接用于生成可执行的exe文件或dll文件。Windows Executable是生成Stager类型的马，而Windows Executable(S)是生成Stageless类型的马。那Stager和Stageless有啥区别呢?
Stager是分阶段传送Payload。分阶段啥意思呢?就是我们生成的Stager马其实是一个小程序，用于从服务器端下载我们真正的shellcode。分阶段在很多时候是很有必要的，因为很多场景对于能加载进内存并成功漏洞利用后执行的数据大小存在严格限制。所以这种时候，我们就不得不利用分阶段传送了。如果不需要分阶段的话，可以在C2的扩展文件里面把 host_stage选项设置为false。
而Stageless是完整的木马，后续不需要再向服务器端请求shellcode。所以使用这种方法生成的木马会比Stager生成的木马体积要大。但是这种木马有助于避免反溯源，因为如果开启了分阶段传送，任何人都能连接到你的C2服务器请求payload，并分析payload中的配置信息。在CobaltStrike4.0及以后的版本中，后渗透和横向移动绝大部分是使用的Stageless类型的木马。

生成后门

在这里插入图片描述

HTML Application 生成hta形式的恶意payload
MS Office Macro 生成宏文档的payload
Payload Generator 生成各种语言的payload

Windows Executable 生成可执行的分段payload
Windows Executable(S) 生成可执行的不分段Payload

Windows Executable & Windows Executable(S)

这两个模块直接用于生成可执行的exe文件或dll文件。Windows Executable是生成Stager类型的马，而Windows Executable(S)是生成Stageless类型的马。那Stager和Stageless有啥区别呢?

Stager是分阶段传送Payload。分阶段啥意思呢?就是我们生成的Stager马其实是一个小程序，用于从服务器端下载我们真正的shellcode。分阶段在很多时候是很有必要的，因为很多场景对于能加载进内存并成功漏洞利用后执行的数据大小存在严格限制。所以这种时候，我们就不得不利用分阶段传送了。如果不需要分阶段的话，可以在C2的扩展文件里面把 host_stage选项设置为false。
而Stageless是完整的木马，后续不需要再向服务器端请求shellcode。所以使用这种方法生成的木马会比Stager生成的木马体积要大。但是这种木马有助于避免反溯源，因为如果开启了分阶段传送，任何人都能连接到你的C2服务器请求payload，并分析payload中的配置信息。在CobaltStrike4.0及以后的版本中，后渗透和横向移动绝大部分是使用的Stageless类型的木马。

在这里插入图片描述