伪装马上线Cobalstrike

准备工作

工具：
WinRAR压缩工具
Restorator

实验流程

1. 创建listen。

HTTP Hosts:CS服务器ip
HTTP Hosts(Stager):CS服务器IP
HTTP port：CS服务器端口(随便起)

2. 生成windows无阶段马。
   

3. 选择刚刚创建好的listen。勾选x64 payload。
   

4. 将要伪装的程序和马放在一个目录下。选择两个程序用WinRAR进行压缩。
   选择一个后按着ctrl继续选择另一个
   

5. 对压缩选项进行配置。勾选Create SFX archive。
   

6. 在Advanced选项点击SFX options进行配置。
   

7. 点击General，将目录填写为C:\Users\Public。
   C:\Users\Public目录是windows公共目录，可供用户访问。
   

8. 点击Setup选项，第一个填写马文件，第二个填写正常程序。
   

9. 点击Modes。勾选最下边的Hide all选项。
   

10. 配置完成后，保存退出，在目录下即可看到压缩好的文件。下面我们要对其更改图标。
    

11. 使用Restorator工具，将生成的压缩文件和正常文件拖拽进来，在图标的选项里删除马的图标，复制正常软件的图标到马。
    注意是图标的目录，不是201文件！

完成结果如下：

12. 返回目录找到马，可以看到伪装成功！
    

13. 这里我用自己的机器实验，成功上线！