赛博保安日志 - cs
type: channel
link: https://blog.anheng.tech/index.php/tag/cs/
items: Cobalt Strike体验

Cobalt Strike体验
type: item
date: 2022-05-18T13:27:00+08:00
description: 本篇文章仅用于学习记录，不得用于其他用途。一、CS简介1、CS简介Cobalt Strike是一款基于java的渗透测试神奇，常被称为CS神奇。自3.0以后已经不在使用Metasploit框 架而作为一个独立的平台使用，分为客户端与服务端 (CS架构的)，服务端是一个，客户端可以有多个，非常适合团 队协同作战，多个攻击者可以同时连接到一个团队服务器上，共享攻击资源与目标信息和sessions，可模拟APT做 模拟对抗，进行内网渗透。Cobalt Strike集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木⻢生成，win dll木⻢生成， java木⻢生成，office宏病毒生成，木⻢捆绑;钓⻥攻击包括:站点克隆，目标信息获取，java执行，浏览器自动攻击等等。官方网站 https://www.cobaltstrike.com/2、为什么有CS非常适合团队协同作战 , 简称多人运动 , 插件也比较丰富 , 也是目前主流的c2工具二、目录结构agscript 拓展应用的脚本 c2lint 用于检查profile文件的错误异常 teamserver 服务端程序 cobaltstrike，cobaltstrike.jar 客户端程序(java跨平台) license.pdf 许可证文件 logs 目录记录与目标主机的相关信息 update，update.jar 用于更新CS third-party 第三方工具 三、安装和运行1、服务端团队服务器最好运行在Linux平台上，服务端的关键文件是teamserver和cobaltstrike.jar，将这两个文件放在同一目录下运行，teamserver要有可以运行的权限。chmod +x teamserver ./teamserver <host> <password> [/path/to/c2.profile] [YYYY-MM-DD] <host> 必需参数 团队服务器IP <password> 必需参数 连接服务器的密码 [/path/to/c2.profile] 可选参数 指定C2通信配置文件，体现其强大的扩展性 [YYYY-MM-DD] 可选参数 所有payload的终止时间 # 一般启动Team Server ./teamserver 192.168.1.1 123456 # 设置强密码，否则容易被爆破，参考附录2、客户端Linux：./cobaltstrike 或 java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jarWindows：双击cobaltstrike.exe , `但是一般都有对应平台的启动脚本` 四、菜单栏详情1、Cobalt StrikeNew Connection Preferences Visualization VPN Interfaces Listenrs Script Manager 令行，提权脚本等 # 新建连接，支持连接多个服务器端 # 设置Cobal Strike界面、控制台、以及输出报告样式、TeamServer连接记录 # 主要展示输出结果的视图 # 设置VPN接口 # 创建监听器 # 脚本管理，可以通过AggressorScripts脚本来加强自身，能够扩展菜单栏，Beacon命令行，提权脚本等2、ViewApplications # 显示受害主机的应用信息 Credentials # 显示所有以获取的受害主机的凭证，如hashdump、Mimikatz # 查看已下载文件 Downloads #查看已下载文件 Event Log # 主机上线记录以及团队协作聊天记录 Keystrokes # 查看键盘记录结果 Proxy Pivots # 查看代理模块 Screenshots # 查看所有屏幕截图 Script Console # 加载第三方脚本以增强功能 Targets # 显示所有受害主机 Web Log # 所有Web服务的日志3、Attacks（1）PackageHTML Application MS Office Macro Payload Generator Windows Executable Windows Executable(Stageless) # 生成无状态的可执行exe木⻢（2）Web DriveManageManage #对开启的web服务进行管理 Clone Site #克隆网站，可以记录受害者提交的数据 Host File #提供文件下载，可以选择Mime类型 Scripted Web Delivery #为payload提供web服务以便下载和执行，类似于Metasploit的web_delivery Sig…