最新要闻
- RTX 4090买一送一?满满都是套路啊
- 知名游戏网站VGtime最后3名编辑被开除:与资方冲突 不同意脚本取代原创 世界观天下
- 咸肉菜饭的做法_方法你学会了吗
- 环球新动态:法治微评:全力整治饭圈文化,严禁劣迹艺人随意变相复出捞金
- 爱书之人写给书的情歌-要闻
- 中复电讯官网 世界热文
- 欧莱雅毛孔紧致精华素
- 头孢三代抗生素有哪些作用_头孢三代抗生素有哪些
- 资讯:WTA明年有望出新规:TOP30球员不准参加250赛?让强者更强
- 全球今日报丨绿色“领跑”助力制造业高质量发展交流会佛山举行
- 凤凰公园在哪里_凤凰公园占地面积|每日快报
- 女主变成拉拉 索尼大作《西之绝境》DLC评分再跌 差评持续上涨-全球聚焦
- 订不到酒店咋办?淄博一影院看末场电影可免费夜宿至早晨7点
- 人工智能会如何影响东南亚的产业发展︱南洋飞语 环球关注
- 周四周五举行!郑州助企用工专场招聘会提供万余就业岗位
- 王俊凯是农历多少_王俊凯农历生日是几月几日
广告
手机
iphone11大小尺寸是多少?苹果iPhone11和iPhone13的区别是什么?
警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案
- iphone11大小尺寸是多少?苹果iPhone11和iPhone13的区别是什么?
- 警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案
- 男子被关545天申国赔:获赔18万多 驳回精神抚慰金
- 3天内26名本土感染者,辽宁确诊人数已超安徽
- 广西柳州一男子因纠纷杀害三人后自首
- 洱海坠机4名机组人员被批准为烈士 数千干部群众悼念
家电
全球观天下!cobalt strike渗透框架
CS介绍
团队服务器
Cobalt Strike 分为客户端组件和服务器组件。服务器组件,也就是团队服务器,是 Beacon payload 的控制器,也是 Cobalt Strike 社会工程功能的托管主机。团队服务器还存储由 Cobalt Strike 收集的数据,并管理日志记录.启动CS的团队服务器,使用 Cobalt Strike Linux 安装包中的 teamserver 脚本文件。团队服务器的启动命令包含两个必填的参数和两个选填的参数。必填1.是团队服务器的外部可达 IP 地址2.密码 #你的团队成员将使用此密码从自己 Cobalt Strike 客户端去连接至 Cobalt Strike 团队服务器。tips:当团队服务器启动,它会发布团队服务器的 SSL 证书的 SHA256 hash。你需要给你的团队成员分发这个 hash。当你的团队成员连接团队服务器时,在身份验证至团队服务器前、他们的 Cobalt Strike 客户端会询问他们是否承认这个 hash 。CS客户端
CS客户端启动时,你会看到一个连接对话框。
HOST:指定teamserver的add。默认端口为50050
user改为外号 passowrd填写teamserver的共享密码
(资料图片仅供参考)
connect链接CS的teamserver
第一次连接
Cobalt Strike 会询问你是否承认这个团队服务器的 SHA256hash。如果你承认,那么按 OK ,然后 Cobalt Strike 的客户端就会连接到这个团队服务器。CobaltStrike 也会在未来的连接中记住这个 SHA256 hash。你可以通过 Cobalt Strike→ Preferences → Fingerprints 来管理这些团队服务器的 hash用户接口
工具条
Cobalt Strike 顶部的工具条提供访问 Cobalt Strike 常用功能的快捷方式目标表
目标表展示了 Cobalt Strike 的数据模型中的目标。此目标表展示了每个目标的 IP 地址,它的 NetBIOS名称,以及你或者你的团队成员给目标标记的一个备注。每个目标最左侧的图标表示了它的操作系统。带有闪电的红色图标表示此目标具有一个与之通信的 Cobalt Strike Beacon 会话点击表头字段( address )来排序主机。高亮一行并右击来打开一个菜单,此菜单有针对这台主机的操作选项。按住 Ctrl + Alt ,然后通过点击来选择和取消选择某台主机。这个目标表对于横向移动和理解你的目标网络很有用。会话表
会话表展示了哪些 Beacon 回连到了这台 Cobalt Strike 实例。Beacon 是 Cobalt Strike 用于模拟高级威胁者的 payload。在这里,你将看到每个 Beacon 的外网 IP 地址、内网 IP 地址、该 Beacon 的出口监听器、此 Beacon 最后一次回连的时间,以及其他信息。每一行最左边是一个图标,用于说明被害目标的操作系统。如果此图标是红色的、并且带有闪电,那么说明此 Beacon 运行在管理员权限的进程中。一个褪色的图标意味着此 Beacon 会话被要求离开并且它接受了此命令。数据管理
teamserver是CS收集的所有信息的中间商。Cobalt Strike 解析来自它的 Beacon payload 的输出,提取出目标、服务和凭据。目标
你可以通过 View → Targets 来与 Cobalt Strike 的目标的信息交互。这个标签页显示与目标表视图相同的信息。点击 Import 来导入一个带有目标信息的文件。Cobalt Strike 接受每行一个主机的 flflat 文本文件(纯文本文件),也接受由 Nmap 生成的 XML 文件(-oX 选项)。点击 Add 按钮来给 Cobalt Strike 的数据模型添加新的目标。这个对话框允许你向 Cobalt Strike 的数据库添加多个主机。在 Address (地址)字段指定一个 IP 地址的范围或使用 CIDR 表示法来一次添加多个主机。在给数据模型添加主机时,按住 shift 可以使得在点击 Save 之后仍保持这个对话框打开。选择一个或多个主机然后单击右键来打开主机菜单。通过这个菜单你可以修改对主机的备注、设置它们的操作系统信息,或者从这个数据模型中移除主机。服务
在一个 Target (目标)视图中,在一台主机上单击右键,并选择 Services (服务)。这会打开Cobalt Strike 的服务浏览器。在这里你可以浏览服务,给不同的服务备注,也可以移除服务条目凭据
通过 View → Credentials 来与 Cobalt Strike 的凭据模型交互。点击 Add 按钮来给凭据模型添加一条条目。同样的,你也可以按住 Shift 键来保持对话框打开并使得给模型添加新的凭据更方便。点击Copy 来复制高亮的条目至你的剪贴板。使用 Export 来以 PWDump 格式导出凭据。维持
Cobalt Strike 的数据模型将其所有的状态和状态元数据存储在 data/ 文件夹。 data/ 文件夹存在在你运行 Cobalt Strike 团队服务器的那个文件夹里。要清除 Cobalt Strike 的数据模型:停止团队服务器,删除 data/ 文件夹及其内容。当你下次启动团队服务器的时候,Cobalt Strike 会重建 data/ 文件夹通过 Reporting → Reset Data 可以在不重启团队服务器的情况下重置 Cobalt Strike 的数据模型监听器和基础设施
一旦teamserver启动并运行,你将需要连接到它并将其配置为接收来自受害系统的连接。listener就是 Cobalt Strike 中用来执行这种任务的机制。监听器管理
要管理 Cobalt Strike 的监听器,通过 Cobalt Strike → Listeners 。这会打开一个标签页,列举出所有你的配置的 payload 和监听器。按 Add 按钮来创建一个新的监听器。当你创建一个监听器,确保你给他一个好记的名称。在 Cobalt Strike 的命令和工作流程中你需要使用此名称来引用此监听器。要编辑监听器,选中一个监听器,然后按 Edit 。要移除一个监听器,选中该监听器,然后按 Remove 。CS的beacon payload
最常见的情况是,你需要为 Cobalt Strike 的 Beacon payload 配置监听器。Beacon 是 Cobalt Strike的 payload,用于建模高级攻击者。使用 Beacon 来通过 HTTP,HTTPS 或 DNS 出口网络。Beacon 的网络流量指标具有拓展性。可以使用 Cobalt Strike 的可拓展的 C2 语言来重新定义 Beacon的通信。这允许你掩盖 Beacon 行动,比如使其流量看起来像其他的恶意软件,又或者将其流量掺入作为合法流量。payload staging (payload 分阶段)
payload 就是攻击执行的内容。payload 通常被分为两部分:payload stage 和 payload stager。stager 是一个小程序,通常是手工优化的汇编指令,用于下载一个payload stage、把它注入内存,然后对其传达执行命令。这个过程被称为 staging(分阶段)。staging(分阶段)过程在一些攻击行动中是必要的。很多攻击中对于能加载进内存并在成功漏洞利用后执行的数据大小存在严格限制。这会极大地限制你的后渗透选择,除非你分阶段传送你的后渗透payloadCobalt Strike 在它的用户驱动攻击中使用 staging(分阶段)。大多数这类项目在Attacks → Packages 和 Attacks → Web Drive-by 选项下。使用什么样的 stager 取决于与攻击配对的 payload。比如,HTTP Beacon 有一个 HTTP stager。DNS Beacon 有一个 DNS TXT 记录 stager。不是所有的 payload 都有 stager 选项。没有 stager 的 Payload 不能使用这些攻击选项投递。在 Cobalt Strike 4.0 及以后的版本中,后渗透和横向移动的行为避开了 stager 并选择去尽可能的投递一个完整的 payload。如果你禁用了 payload staging(分阶段),那么除非你准备做后渗透那么你应该不会注意到此变动http beacon /https beacon
默认设置情况下,HTTP 和 HTTPS Beacon 通过 HTTP GET 请求来下载任务。这些 Beacon 通过 HTTP,POST 请求传回数据。你也可以通过 C2 拓展文件来极尽可能的控制这个 payload 的行为和流量指标。要起一个 HTTP 或 HTTPS Beacon 监听器,通过 Cobalt Stike → Listeners 。点击 Add 按钮,选择 Beacon HTTP 作为你的 payload 选项4.0版本按 [+] 来为 HTTP Beacon 增加一个或多个回连的主机。按 [-] 来移除一个或多个主机。按 [X] 来清除当前的主机。如果你有多个主机,仍然可以在此对话框中粘贴以逗号分隔的回连主机列表,这是可行的。HTTP Host(Stager) 字段控制 HTTP Beacon 的 HTTP Stager 的主机。仅当你将此 payload 与需要显式 stager 的攻击配对时,才使用此值。通过 Profile 字段,你可以选择一个 C2 拓展文件变体。通过一个 C2 文件变体,你可以在一个文件中指定多个配置文件的变量。使用变体文件之后,你设置的每个 HTTP 或 HTTPS 监听器会有不同的网络流量指标。HTTP Port(C2) 字段设置你的 HTTP Beacon 回连的端口。 HTTP Port(Bind) 字段指定你的 HTTPBeacon payload web 服务器绑定的端口。如果你要设置端口弯曲重定向器(例如,接受来自 80 或443 端口的连接但将连接路由到团队服务器开在另一个端口上的连接,这样的重定向器),那么这些选项会很有用。如果 HTTP Host Header 值被指定了,会影响你的 HTTP stagers,并通过你的 HTTP 通信。这个选项使得通过 Cobalt Strike 利用域名前置变得更加容易。点击 HTTP Proxy 字段旁边的 ... 按钮来为此 payload 指定一个显式的代理配置。3.13版本
手动http代理设置
(Manual) Proxy Settings 对话框提供了多个选项来控制 Beacon 的 HTTP 和 HTTPS 请求的代理配置。Beacon 的默认行为是为当前的进程/用户上下文使用 Internet Explorer 代理配置。Proxy Type 字段配置了代理的类型。 Proxy Host 和 Proxy Port 字段告诉 Beacon 代理在哪里运行。 Username 和 Password 字段是可选的,这些字段指定了 Beacon 用来对代理进行身份验证的凭据。勾选 Ignore proxy settings;use direct connection (忽略代理设置;使用直连)来强制Beacon 不通过代理尝试其 HTTP 和 HTTPS 请求。当你填写好代理配置之后,点击 Set 来更新 Beacon 对话框。点击 Reset 可以把代理配置重置为默认行为。重定向器
重定向器是位于你的目标网络和你的团队服务器之间的系统。任何去往重定向器的连接将转发到你的团队服务器进行处理。通过重定向器,可以为你的 Beacon payload 提供多个回连主机。使用重定向器还有助于提升行为安全,因为它会使溯源团队服务器的真实地址变得更加困难。Cobalt Strike 的监听器管理功能支持使用重定向器。当你设置一个 HTTP 或 HTTPS Beacon 监听器的时候,简单的指定你的重定向器 IP (在 Host 字段填入)。Cobalt Strike 不会验证这个信息。如果你提供的 host 不隶属于当前主机(不是团队服务器的 IP),那么 Cobalt Strike 就假设它是重定向器。一种把服务器转变为重定向器的简单方法是使用 socat。下面是一句 socat 语法,作用是:将80端口上的所有连接转发到位于192.168.12.100的团队服务器的80端口:socat TCP4-LISTEN:80,fork TCP4:192.168.12.100:80cobalt strike模块详解
cobalt strike模块功能选项
new connection:打开一个新的connect窗口。在当前窗口中新建一个连接,即可同时链接不同的teamserver(便于团队之间的协作)
preferences:偏好设置,首选项
visualization:主机以不同的权限展示出来
VPN interfaces:设置VPN接口
listeners:创建监听器
script manager : 查看加载CNA脚本
close:关闭当前与teamserver的连接
view模块
application:显示被控机器的应用信息
credentials 通过hashdump或mimikatz获取的密码或者散列值都存储在这里
downloads:从被控机器下载的文件
event log 主机上线记录,以及与团队协作相关的聊天记录和操作记录
keystrokes:键盘记录
proxy pivots:代理模块
screenshots:屏幕截图模块
script console 控制台,加载各种脚本
targets:显示目标
web log :web访问日志
attacks模块
packages模块
HTML application:基于HTML应用的payload模块,通过html调用其他语言的应用组件进行攻击测试,提供了可执行文件,powershell,VBA三种方法MS Office macro :生成基于office病毒的payload模块payload generator:payload生成器,可以生成C#,c com scriptlet,java,perl,pwershell,python,ruby,vba等payloadUSB/CD autoplay 用于生成利用自动播放功能运行的后门文件windows dropper 捆绑器,能够对文件进行捆绑并执行payloadwindows executable 生成32位或64位的exe或基于服务的exe,dll等后门程序。windows executalbe(S) 生成一个win的可执行文件,包含beacon的完整payload。不需要阶段性请求,与上面的相比提供代理设置。
web drive-by模块
基于网络驱动的功能模块manage 管理器,用于对teamserver上已经开启的web服务进行管理,包括listener和web deliveryclone site:用于克隆指定网站样式host file:指定文件加载到web目录中script web delivery : 基于web的攻击测试脚本,自动生成可执行payloadsigned applet attack : 使用java自签名的程序进行钓鱼攻击。(用户如果有applet权限就会执行其中的恶意代码)smart applet attack : 自动检测java的版本并进行跨平台和跨浏览器的攻击测试system profiler : 客户端检测工具,可以用来获取系统信息
关键词:
-
【天天播资讯】Koordinator 一周年,新版本 v1.2.0 支持节点资源预留,兼容社区重调度策略
新版本中Koordinator支持了节点资源预留功能,并兼容了K8s社区的重调度策略,同时在单机侧增加了对AMD环境L
来源: 全球观天下!cobalt strike渗透框架
【视频版】基于飞腾芯片的设计与调试入门指导-环球快资讯
软件工程基础作业——原型设计
【天天播资讯】Koordinator 一周年,新版本 v1.2.0 支持节点资源预留,兼容社区重调度策略
RTX 4090买一送一?满满都是套路啊
知名游戏网站VGtime最后3名编辑被开除:与资方冲突 不同意脚本取代原创 世界观天下
咸肉菜饭的做法_方法你学会了吗
环球新动态:法治微评:全力整治饭圈文化,严禁劣迹艺人随意变相复出捞金
爱书之人写给书的情歌-要闻
中复电讯官网 世界热文
欧莱雅毛孔紧致精华素
头孢三代抗生素有哪些作用_头孢三代抗生素有哪些
资讯:WTA明年有望出新规:TOP30球员不准参加250赛?让强者更强
全球今日报丨绿色“领跑”助力制造业高质量发展交流会佛山举行
方法
【环球聚看点】线性SVM决策过程的可视化
凤凰公园在哪里_凤凰公园占地面积|每日快报
女主变成拉拉 索尼大作《西之绝境》DLC评分再跌 差评持续上涨-全球聚焦
订不到酒店咋办?淄博一影院看末场电影可免费夜宿至早晨7点
人工智能会如何影响东南亚的产业发展︱南洋飞语 环球关注
世界焦点!kafka设计理念解析
Geotools基本增删改查Feature-天天精选
周四周五举行!郑州助企用工专场招聘会提供万余就业岗位
王俊凯是农历多少_王俊凯农历生日是几月几日
2023年4月票房已破20亿:2部日本电影出彩 《灌篮高手》情怀刷满
重磅微视频:读书之美 世界聚焦
Matter 与ZigBee、蓝牙、Wi-Fi的关系_环球新视野
世界速递!俄罗斯与联合国将磋商黑海港口农产品外运协议前景
全球微头条丨如何判断你整体的学业运势
天天热推荐:不会主动告知风险!ChatGPT生成代码被指并不安全
教练妻子等丈夫下班 教7岁女儿在驾校学车 导致驾校停业整顿|全球要闻
环球新资讯:vivo Y系列首款曲面屏!vivo Y78+开启预售:1599元起
网红购买500万日元NFT暴跌近9成 吐槽真实网络诈骗
成都武侯祠门票需要提前预约吗
ASP.NET Core MVC 从入门到精通之Razor语法 当前观点
焦点速看:05 第一个c函数
为亲朋好友非法牟利罪的犯罪数额有什么限制
【财经分析】TCL科技扣非净利巨亏27亿创历史新低 比2021年下滑121亿元 全球报道
硬刚苹果、高通?消息称ARM要自己搞先进芯片:进军手机、PC
180°可躺倒设计+活水杀菌!米家无线洗地机2图赏 焦点热门
理想汽车L系列喜迎4.4大版本更新:增加哨兵模式 全球速读
全球简讯:你觉得调休日上班效率有区别吗?
提高开发生产力的4大敲门砖_当前观点
JavaScript 使用 splice 方法删除数组元素可能导致的问题
199元就能买到这么顶的1/6手办?|焦点精选
多只债券基金遭遇大额赎回 机构:债市或维持震荡格局
张超文会长与中国医药报社总编辑王春梅交流座谈-天天热议
RTX 4070卖不动?NV反击:186W下性能2倍于272W功耗3070 Ti显卡-天天热头条
热消息:Vue3 +element-plus+ wangEditor 富文本编辑器+前端七牛云上传
《Redis设计与实现》读书笔记 焦点简讯
2023年团体程序设计天梯赛 题解
环球观天下!并发编程(1)-线程与锁
前沿资讯!性能测试工具Locust和JMeter比较-及相关书籍下载
滚动:新金路(000510.SZ):提请股东大会授权董事局办理以简易程序向特定对象发行股票
英足总杯丨马赫雷斯“戴帽”,曼城挺进决赛|精选
让老外爱上“砍一刀”!拼多多Temu英国站已正式上线 天天亮点
每日播报!圆球停在斜坡顶端 网友称物理学不存在了 体彩中心:可能是天气原因
美国多个州要求召回韩国汽车:缺乏基本的防盗装置 危及公共安全
环球快消息!比亚迪百万豪车!仰望U8开车第一视角曝光:马路都感觉变窄了
蛋蛋面膜真的能去皱纹吗_蛋蛋面膜
「学习笔记」重修 FHQ-treap
Godot 4.0 设置应用程序图标、项目图标
Springboot yml配置参数加密 ,jasypt自定义解密器|当前简讯
国家能源局:截至3月底全国累计发电装机容量约26.2亿千瓦 同比增长9.1%
亚香股份: 2022年年度报告摘要
全球速读:劳斯莱斯不让进展台 小姐姐直接买了仰望U8、仰望U9两款车
【时快讯】广州街头大众CC变道不成 倒车怒撞奔驰E 网友直呼太恶劣
华为宣布开放5G网络能力 自家5.5G比5G快10倍|焦点速读
什么是期货对冲交易 全球独家
每日观点:歌词那些遗憾留在心底_心中的遗憾歌词
人机识别技术再升级,AIGC为验证码带来万亿种新变化_环球关注
从热爱到深耕,全国Top10开源软件出品人手把手教你如何做开源 微头条
当前观察:今日沈阳老凤祥黄金价格查询(2023年4月23日)
全球快播:提车时大风吹倒墙壁新车被砸 男子:4S店只修不换不退
【当前独家】抖音推出种草产品有柿App 由头条搜索升级而来
体彩开奖球停在斜坡不下滚遭质疑是什么情况
观察:厦门国际银行助力企业赴澳发行首笔“深合债”
詹姆斯:我职业生涯中和很多人有过对决 所以我不想谈狄龙 焦点快播
重返韩国!2023《英雄联盟》S13全球总决赛10月开战:赛程抢先看-全球快看
穿一次扔了都不亏!阿里工厂店大促:船袜6毛4一双起
全球报道:傅索安巴甫洛夫 傅索安怎么死的
优化数据呈现方式,分组双轴图是最佳选择|实时焦点
天天百事通!Transformer
无惧百万级并发,GaussDB(for Cassandra)让华为推送服务更快触达
使用手机在网状态查询 API 有效防止虚假注册的设计思路 全球简讯
视焦点讯!CAS的service参数验证
头条焦点:缬怎么读(缬字怎么读“缬”的读音是:[xié]【释义】)
上不上名校的区别,藏在李雪琴陈都灵的采访中,演员层次分出来了
环球简讯:奇瑞艾瑞泽STAR概念实车现身 网友:换个BBA的标 能卖百万
被泰国红牛告了 禁止生产销售!中国红牛回应:系网络水军抹黑-世界热点
【速看料】燕矶长江大桥北锚碇填芯混凝土大方量浇筑打破项目纪录
NGINX 备忘清单_开发速查表分享_时讯
孕产妇营养饮食大全 全球今头条
环球热门:雀巢丝滑拿铁咖啡15瓶到手59.8元:榛果、焦糖等多种口味
外观大变 增插混版!全新广汽本田雅阁将于5月底上市 全球快资讯
SpaceX星舰发射导流槽都没挖!马斯克:大意了 焦点短讯
4种口味任选 超划算:和路雪千层雪冰淇淋3.87元大促 _世界新要闻
有望下跌!国内油价五一节前调整 预计下调0.07元/升-微资讯
最新资讯:泡菜坛口用水密封的目的 泡菜坛口为什么要用水密封呢
华为云GaussDB支撑华为MetaERP系统全面替换