DoS、DDoS工具Cobalt Strike

Cobalt Strike

简介

Cobalt Strike是一款美国Red Team开发的渗透测试神器，常被业界人称为CS。最近这个工具大火，成为了渗透测试中不可缺少的利器。其拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket代理，office攻击，文件捆绑，钓鱼等功能。同时，Cobalt Strike还可以调用Mimikatz等其他知名工具，因此广受黑客喜爱。

Cobalt Strike分为客户端和服务端可分布式操作可以协同作战。但一定要架设在外网上。当然你知道利用这款工具主要用于内网渗透以及APT攻击。

官网：https://www.cobaltstrike.com

• 实验环境：
  服务器端（Linux）：192.168.19.146
  靶机（windows）:192.168.19.130
  使用cobalt strike 3.14

启动

服务器

• ./teamserver 192.168.19.146 test

  • IP地址为服务器外网地址，test为客户端连接密码

客户端

• windows启动cs.bat unix/linux启动cs.sh

  • Windows客户端
  • 子主题 2

功能简介

建立监听链接

• 内网

  • wndows/beacon_dns/reverse_dns_txt
    windows/beacon_http/reverse_http
    windows/beacon_https/reverse_https
    windows/beacon_bind_pipe
    windows/beacon_tcp
    windows/beacon_extc2

• 外网

  • windows/foreign/reverse_http
    windows/foreign/reverse_https

让主机上线

• 通过软件自带攻击功能，选择合适的监听链接，生成攻击payload（网页攻击代码、生成攻击小程序、邮件钓鱼），诱导被攻击者点击运行，则软件会自动监测到

• 主机上线后，可以通过软件自带的功能进行，提权、查看密码、扫描端口，查看局域网内主机，将被控制主机设为socket代理等操作

结合metasploit,反弹shell

• 在kali中开启使用命令开启metasploit

  • 使用Cobalt Strike创建一个windows/foreign/reverse_tcp的Listener。其中ip为Metasploit的ip地址，端口为Metasploit所监听的端口。

office宏payload应用

• 需要被攻击者主机office开启宏运行功能

  • 1、使用软件客户端生成攻击宏代码
  • 2、将攻击代码插入到office软件宏中
  • 3、将带有宏攻击代码的office文件发给攻击目标，诱导对方点击运行
  • 4、运行了宏攻击代码的客户端上线

Https Payload应用

• 优点：可能过行为查杀、另外administrator运行可直接提升为system权限

• 第一步：生成攻击文件

• 第二步：创建服务
  Sc create test binpath= ”c:\test.exe” start= auto displayname= ”test”
  Sc start test
  Sc delete test
  Sc top test

信息收集

• 也可以通过https://bitly.com生成url短链接
  http://tool.chinaz.com/tools/dwz.aspx

hta网页挂马

• HTA是HTML Application的缩写（HTML应用程序），是软件开发的新概念，直接将HTML保存成HTA的格式，就是一个独立的应用软件，与VB、C++等程序语言所设计的软件界面没什么差别。

  • 下例代码保存为xx.hta：

This is my first homepage. This text is bold

• 第一步：生成hta

• 第二步：使用文件下载

  • 点击开始之后，evil.hta文件会自动传到cs uploads目录。

• 第三步：克隆网站

钓鱼页面应用

邮件钓鱼

• 目标地址：TXT文件，每行一个邮箱地址

• 邮件内容：导出eml邮件，修改

• 附件

  • 含有攻击代码，能诱导攻击目标点击运行的文件，压缩包、图片、office等

• 邮箱服务器

  • 密码，需要通过邮件设置获得

beacon控制台

• 执行命令

  • help获取帮助
  • sleep 6 加快连接速度

Socks代理应用

• 第一步：设置代理端口

• 第二步：查看已搭建代理

• 第三步：利用msf模块直接攻击

  • 设置代理

  • 开始攻击

    • 直接攻击

    • 使用proxychains代理扫描内网主机 proxychains nmap -sP 172.16.0.0/24

cs提权与内网渗透

• 加载更多攻击模块

  • https://github.com/rsmudge/Elevatekit
    https://k8gege.org/Download/
    https://github.com/k8gege/Aggressor