Cobalt Strike生成后门

Cobalt Strike生成后门

1、Payload概念

Payload在渗透测试之中大家可以简单地理解为一段漏洞利用/植入后门的代码或程序。

2、Cobalt Strike生成后门

攻击-->生成后门

我们先来讲红框中的四个生成后门的方式，其余的比较特殊，留作日后单独讲解。

Payload Generator
该模块可以生成n种语言的后门Payload，包括C，C#，Python，Java，Perl，Powershell脚本，Powershell命令，Ruby,Raw，免杀框架Veli中的shellcod，等...个人感觉这是CS的一个很大的迷人之处。

在渗透Windows主机过程中，我用的比较多的就是Powershell和Powershell Command，主要是因为其方便易用，且可以逃避一下杀毒软件（AV）的查杀。

以Powershell Command为例，生成的Payload为一串命令，只要在主机上执行这一串命令（主机需安装Powershell），CS即可收到主机的beacon。

Windows Dropper
这个是一个Windows程序的捆绑器，它可以实现把后门捆绑于其他程序之上，比如扫雷游戏，某些带有诱惑性的可执行文件...

在本处，我捆绑的文件为nidongde.txt，生成的后门名为dropper.exe。

点击dropper.exe执行后，释放出了nidongde.txt文件，同时CS也收到了会话。

Windows Excutable/Windows Excutable(s)
1、Windows Excutable生成的后门是Windows可执行文件，如exe，DLL。

exe文件运行后，CS即可收到目标主机的会话。

2、Windows Excutable带有生成出的是stageless版本（无状态Windows后门木马），下面简单说下这个无状态木马的使用方法。一般使用无状态木马的网络环境是这样的。

首先你需要让一台主机作为中转器，配合无状态木马使用。

这里选择中转器的监听器生成木马。需要注意的是如果开启了防火墙会产生一个Windows安全警报，因此最好提前用cmd添加一个防火墙放行规则或关闭防火墙，随后便可将无状态的木马上传到内网的其他机器运行后返回一个会话。