【Try to Hack】Cobalt Strike(一)

📒博客主页：开心星人的博客主页
🔥系列专栏：Try to Hack
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年6月28日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

https://www.bilibili.com/video/BV1Zr4y137bW

🍫CS简介和安装

Cobalt Strike是一款渗透测试神器，Cobalt Strike已经不再使用MSF而是作为单独的平台使用，它分为客户端与服务端，服务端是一个，而客户端可以有多个，可被团队进行分布式协团操作。

功能：CS集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木马生成，win dll木马生成，java木马生成，office宏病毒生成，木马捆绑；钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等等。

早期版本Cobalt Srtike依赖Metasploit框架，而现在Cobalt Strike已经不再使用MSF而是作为单独的平台使用。
这个工具的社区版是大家熟知的Armitage(一个MSF的图形化界面工具)，而Cobalt Strike大家可以理解其为Armitage的商业版。

不同版本的CS目录结构不同，我这里使用的是4.3
cobaltstrike下载链接

因为启动Cobalt Strike需要JDK的支持，所以需要安装Java环境。
kaili安装时默认会安装java环境
java --version

没有的话就安装一下

安装jdk11
apt-get update
apt-get install openjdk-11-jdk

设置默认java程序
update-java-alternatives -s java-1.11.0-openjdk-amd64  
1
2
3
4
5
6

🍫CS启动

启动服务端

团队服务器最好运行在Linux平台上

└─# ./teamserver                      
[*] Will use existing X509 certificate and keystore (for SSL)
Picked up _JAVA_OPTIONS: -Dawt.useSystemAAFontSettings=on -Dswing.aatext=true
[*] ./teamserver <host> <password> [/path/to/c2.profile] [YYYY-MM-DD]

        <host> is the (default) IP address of this Cobalt Strike team server
        <password> is the shared password to connect to this server
        [/path/to/c2.profile] is your Malleable C2 profile
        [YYYY-MM-DD] is a kill date for Beacon payloads run from this server
1
2
3
4
5
6
7
8
9

chmod +x teamserver //当teamserver没有执行权限时，运行该命令
./teamserver 192.168.88.132 123456

团队服务器默认连接端口为50050

启动客户端

Linux：./cobaltstrike或 java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar
Windows：双击cobaltstrike.exe

windows

host就是服务端的IP地址
port默认服务端开启的端口是50050
user自定义一个用户名
password 就是开启服务端时候的密码

第一次连接会出现hash校验，这里的hash等于前面的启动teamserver时的hash，直接点击‘是’即可连接到团队服务器上。

🍫CS添加监听器

监听器类型

beacon x系列为Cobalt Strike自身，包括dns,http,https,smb四种方式的监听器
foreign系列为外部监听器通常与MSF或者Armitagel联动

🍫CS生成木马

选择监听器

还可以生成dll类型的木马

我们选择EXE

Generate
选择保存路径

受害者双击该exe程序，即可在CS客户端上线

🍫CS生成office宏文件钓鱼

选择监听器后，Generate

打开word（WPS不行），新建一个空白文档

【视图】-> 【宏】

创建即可

Ctrl+S保存

受害者打开文件，即在CS客户端上线了

🍫CS克隆网站

clone url为目标网站

访问

输入内容之后，还是跳转到真正的百度