浅谈红队攻防之道-CobaltStrike钓鱼攻击集锦

打个比方，一片大地上，躺着一群沉睡的人，远处就是火山，马上就要爆发了，你就像个闹钟，面对这些沉睡的人，你想把他们叫醒。
你持续不断地响着，有的睡得浅的人，被你叫醒了，跟你一块去叫醒众人，但是人数太多了，你们的声音太微弱了，叫醒的人毕竟有限，而且保不齐有的人嫌烦，时不时还踢坏两个。
那么有的闹钟，怕来不及，就拿自己的生命当做原料，化成了炸弹，一下就炸醒了一大片人。
那照你这么说，炸弹比闹钟厉害多了，那么多来几个炸弹不就行了吗？还要闹钟何用啊？
非也呀！你想想，要是没有闹钟，夜以继日、呕心沥血地啼鸣，便不会有炸弹的诞生，炸弹的威力虽大，但是它终究战胜不了人之惰性，只有需要闹钟，持续不断地提醒着、坚持着，才能最终将所有人唤醒啊。

1、应用信息获取

启动CobaltStrike的服务端，本地远程连接客户端。

利用CobaltStrike生成一个带有探针的链接

1、选择Attacks ->Web Drive-by -> System Profiler

2、设置Local Host为CobaltStrike服务器的IP地址，设置重定向的URL为正常网站，最后勾选上Applet.

3、之后会生成连接，将其发送给鱼儿，等鱼儿点击后，就可以获取到鱼儿用户一些有用的信息。

4、点击View -> Application进行查看。

鱼儿点击链接，之后会跳转到之前设计好的正常页面，信息显示如下

2、凭据信息获取

首先需要搭建一个被克隆的网站

效果如下

CobaltStrike克隆

填写被克隆url和模仿的url，并勾选键盘记录

克隆成功

访问该网站

查看源代码

引用的js分析：

处理页面加载事件时，添加对键盘按下事件的监听。当键盘事件被触发时，进入dfqPdaQzXzSSf和dfqPdaQzXzSSf函数处理。随后，调用 fqPdaQzXzSSf 函数，通过创建 <script> 标签将键盘码数据传输到远程服务器。最后，在数据传输完成后，延迟 5 秒钟后删除创建的 <script> 标签。

鱼儿访问我们构造的网站，并且输入信息后，就会被记录下来

3、主机权限获取

打开Host File 克隆一个正常的网站，并且提供一个木马文件

选择木马文件，并且设置网站下载的地址和端口连接的情况

生成携带木马文件的恶意链接

再打开Clone Site联动上述分享的方法：2、凭据信息获取中的克隆模块

克隆目标页面，Attack攻击选择恶意链接页面进行钓鱼。

成功生成带有木马文件的钓鱼站点

意味着对方访问 上述生成的 钓鱼站点页面后，会直接下载attack恶意链接的木马文件，页面正常跳转到设置的正常页面！

鱼儿打开该文件后成功上线CobaltStrike，并成功免杀

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN: 现有1200+关注。
https://rdyx0.blog.csdn.net/

公众号：儒道易行，现有10000+关注。
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85