CobaltStrike使用教程系列(一）

Cobalt Strike

Cobalt Strike是一款美国Red Team开发的渗透测试神器，常被业界人称为CS。这个工具大火，成为了渗透测试中不可缺少的利器。其拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket代理，office攻击，文件捆绑，钓鱼等功能。同时，Cobalt Strike还可以调用Mimikatz等其他知名工具，因此广受黑客喜爱。
项目官网:https://www.cobaltstrike.com

汉化版：https://pan.baidu.com/s/1iElxAMg5jiXtUgjmNwLlog  密码:45ih

 

安装和启动

 

服务器端

 

Linux ：
cd  cs目录/
./teamserver   192.168.100.101 123456 
# 这里的ip是服务端ip，后续客户端连接此ip登录
#  如需后台运行则执行
nohup ./teamserver 1.2.3.4 password &
Windows：
直接打开teamserver.bat

 

客户端(可多个客户端连接)

 

运行：
java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -Xms512M -Xmx1024M -jar cobaltstrike.jar

或者windows/linux直接点击start.bat/.sh即可启动

 

User可随意。

程序菜单说明

 

Cobal Strike

New Connection       # 新建连接
Preferences           # 设置
Visualization       # 视图（枢纽试图、会话列表、目标列表 ）
VPN Interface        # VPN接口
Listeners           # 监听
Script Manangers    # 脚本管理器
Close              # 关闭

 

View （查看）

 

 

Applications     # 显示应用信息   
Credentials     # 显示受害者凭证信息
Downloads       #文件下载
Event Log       #事件日志;连接日志及系统日志
Keystrokes      #键盘记录
Proxy Pivots    #代理
Screemshots     #屏幕截图
Script Console  #脚本控制台
Targets         #目标列表
Web log         #web日志

 

Attacks（攻击）

 

 

Packages    # 生成后门
    -- HTML Aplications   # 网页后门
    -- MS Office MAcro    #office宏后门
    -- Payload Generator  #生成各种编程语言的后门
    -- Windows Executable #可执行的exe文件
    -- Windows Executable(s) #生成无状态的可执行exe文件
Web Drive—by   #web类攻击
    -- Mange  管理器
    -- Clone Site  ##克隆网站，可以记录受害者提交的数据；
    -- Host file   # 提供一个文件下载，可以修改Mime信息； 可以配合DNS欺骗实现挂马效果使用
    -- Script Web Delivery  # 类似于msf 的web_delivery 
    -- Signed Applet Attack # 使用java自签名的程序进行钓鱼攻击
    -- Smart Applet Attack  #自动检测java版本并进行攻击，针对Java 1.6.0_45以下以及Java 1.7.0_21以下版本；
    -- System Profiler # 用来获取一些系统信息，比如系统版本，Flash版本，浏览器版本等。
 Spear Phish       #钓鱼攻击

 

Reporting（报告）

 

 

Reporting  报告
    -- 活动报告
    -- 主机报告
    -- 目标报告
    -- 会话报告
    -- 社会工程报告
    重置数据
    导出数据

 

新建监听

 

创建

 

• 点击Cobalt Strike选择listeners

 

 

添加

 

• 在Listeners中找到add

 

 

• 此处Ip为服务端IP，和选择监听的端口。然后点击Save。
  其中 Beacon 是Cobalt Strike自带的模块，包括dns,http,https,smb四种方式的监听器， foreign* 为外部监听器，即msf或者Armitage的监听器。 选择监听器以后，host会自动填写我们开启服务时的ip，配置监听端口，然后保存，监听器就创建好

 

生成木马

 

• 在Attacks菜单找到Packages，选择Windows Executable，然后Lisener选择为刚刚创建的lisent

 

主机上线

 

• 点击创建后会生成一个名为artifact.exe的文件，在受害机上运行后可直接在客户端看见目标上线。

 

 

控制主机

 

• 在目标列表单机右键，即可进入Beacon

 

 

会话菜单说明

 

Interact  # 互交窗口
Access   
    -- Dump Hashes  #  获取hash（只能权限为administor使用）
    -- elevate      #提权
    -- Golden Ticket #生成黄金票据注入当前会话
    -- Make Token    # 凭证转换
    -- One-liner    # 反弹shell
    -- Run Mimikatz # 运行 Mimikatz
    --Spawn As  #用其他用户生成Cobalt Strike的beacon
Explore
    -- Browser Pivot  #  劫持目标浏览器进程并代理
    -- Destop Vnc   # 桌面互交
    -- File Browser # 文件浏览器
    -- Net View     # 网络列表
    -- Port Scan    # 端口扫描
    -- Process List # 进程列表
    -- Screenshot   # 截图
Privoting
    -- SOCKS Server # 代理服务
    -- Listener     # 反向端口转发
    -- Deploy VPN   # 部署VPN
Spawn   #新的通讯模式并生成会话
Session     #会话管理，删除，心跳时间，退出，备注

 

在beacon中执行shell

 

在要执行的命令前加上shell即可。
beacon> help shell
beacon>shell ifconfig
beacon>shell whoami
beacon>shell net user