[笔记]攻防工具分享之 CobaltStrike框架 《二》生成后门

简介: [笔记]攻防工具分享之 CobaltStrike框架 《二》生成后门

参考:

https://wbglil.gitbook.io/cobalt-strike/cobalt-strikeji-ben-shi-yong/jian-ting-qi-listener

https://blog.csdn.net/qq_44159028/article/details/118157559

前言

配置监听

默认会有一个已经建立的好的监听配置

我们可以修改它 或者添加一个新的监听配置

添加监听

配置相关信息

值得注意的是,Http端口有时候需要多尝试更换 有的端口通信会有问题,Bind端口是CS绑定接收消息的端口.

Windows Executable & Windows Executable(S)

这两个模块直接用于生成可执行的exe文件或dll文件。Windows Executable是生成Stager类型的马,而Windows Executable(S)是生成Stageless类型的马。那Stager和Stageless有啥区别呢?

Stager是分阶段传送Payload。分阶段啥意思呢?就是我们生成的Stager马其实是一个小程序,用于从服务器端下载我们真正的shellcode。分阶段在很多时候是很有必要的,因为很多场景对于能加载进内存并成功漏洞利用后执行的数据大小存在严格限制。所以这种时候,我们就不得不利用分阶段传送了。如果不需要分阶段的话,可以在C2的扩展文件里面把 host_stage选项设置为false。

而Stageless是完整的木马,后续不需要再向服务器端请求shellcode。所以使用这种方法生成的木马会比Stager生成的木马体积要大。但是这种木马有助于避免反溯源,因为如果开启了分阶段传送,任何人都能连接到你的C2服务器请求payload,并分析payload中的配置信息。在CobaltStrike4.0及以后的版本中,后渗透和横向移动绝大部分是使用的Stageless类型的木马。

生成后门

生成后门

HTML Application 生成hta形式的恶意payload

MS Office Macro 生成宏文档的payload

Payload Generator 生成各种语言的payload

Windows Executable 生成可执行的分段payload

Windows Executable(S) 生成可执行的不分段Payload

Windows Executable & Windows Executable(S)

这两个模块直接用于生成可执行的exe文件或dll文件。Windows Executable是生成Stager类型的马,而Windows Executable(S)是生成Stageless类型的马。那Stager和Stageless有啥区别呢?

Stager是分阶段传送Payload。分阶段啥意思呢?就是我们生成的Stager马其实是一个小程序,用于从服务器端下载我们真正的shellcode。分阶段在很多时候是很有必要的,因为很多场景对于能加载进内存并成功漏洞利用后执行的数据大小存在严格限制。所以这种时候,我们就不得不利用分阶段传送了。如果不需要分阶段的话,可以在C2的扩展文件里面把 host_stage选项设置为false。

而Stageless是完整的木马,后续不需要再向服务器端请求shellcode。所以使用这种方法生成的木马会比Stager生成的木马体积要大。但是这种木马有助于避免反溯源,因为如果开启了分阶段传送,任何人都能连接到你的C2服务器请求payload,并分析payload中的配置信息。在CobaltStrike4.0及以后的版本中,后渗透和横向移动绝大部分是使用的Stageless类型的木马。

选择监听器

选择文件位置和名字后就生成后门成功了

开始远程控制

然后在目标机器运行server.exe之后上线会通知到CS的

如下图就是上线的主机

右键会话,进入beacon 即控制目标端cmd

输入ls命令

目录
打赏
0
0
0
0
44
分享
相关文章
Potato土豆提权工具绕过防护思路-1
Potato土豆提权工具绕过防护思路-1
244 0
记一次web登录通杀渗透测试到GETSHELL——续篇
记一次web登录通杀渗透测试到GETSHELL——续篇
225 0
WEB安全Permeate漏洞靶场挖掘实践
最近在逛码云时候发现permeat靶场系统,感觉界面和业务场景设计的还不错.所以过来分享一下.
273 0
WEB安全Permeate漏洞靶场挖掘实践
Java开发远程调试易埋隐患,JDWPMiner挖矿木马后门分析
近日,阿里云安全监测到一种利用JDWP RCE漏洞进行挖矿的恶意攻击,对用户资产危害极大,近期传播有所上升,提醒广大用户注意防护。
1071 0
Java开发远程调试易埋隐患,JDWPMiner挖矿木马后门分析
带你读《从实践中学习Metasploit 5渗透测试》之二:获取漏洞信息
本书基于Metasploit的5.0版,首先系统地讲解了各个平台下的环境构建方式;然后按照渗透测试流程,依次讲解了Metasploit在漏洞获取、项目准备和实施攻击环节的使用方式。 接着借鉴了专业渗透测试规范,专门介绍了如何使用Metasploit的工作区进行渗透测试项目的管理和信息维护;最后基于Windows、Linux和Android系统讲解典型模块的应用方式。
AI助理

你好,我是AI助理

可以解答问题、推荐解决方案等