搜索

[11048] 2017-02-21_CobaltStrike之DNSBeacon使用记录

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-02-21_CobaltStrike之DNSBeacon使用记录 C o b a l t   S t r i k e 之 D N S   B e a c o n 使 用 记 录 补 丁 君   F r e e B u f   2 0 1 7 - 0 2 - 2 1 * 原 创 作 者 ： 补 丁 君 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 笔 者 使 用 环 境 笔 者 使 用 环 境 本 机 本 机 D e b i a n   L i n u x 服 务 器 V P S （ D e b i a n   L i n u x ） 目 标 W i n d o w s   2 0 0 3 （ 虚 拟 机 ） C o b a l t   S t r i k e   v 3 . 6 （ 开 心 版 ） C o b a l t   S t r i k e 开 启 团 队 服 务 器 模 式 需 要 J a v a 环 境 ， 本 机 使 用 也 需 要 ， 推 荐 安 装 O r a c l e   j a v a 8 先 上 传 C o b a l t   S t r i k e 压 缩 包 到 服 务 器 上 ， 解 压 如 图 所 示 ， 输 入 命 令 这 样 就 可 以 开 启 C o b a l t   S t r i k e 的 团 队 服 务 模 式 了 ， 并 且 可 以 后 台 挂 载 在 那 里 然 后 ， 本 机 打 开 C o b a l t   S t r i k e ， 输 入 服 务 器 I P 、 端 口 、 密 码 ， 用 户 名 任 意 设 置 r o o t @ A l i Y u n : ~ / c o b a l t s t r i k e #   n o h u p   . / t e a m s e r v e r   你 的 服 务 器 i p   你 要 设 置 的 密 码 &
顺 利 的 就 连 上 了 服 务 器 ， 现 在 开 始 正 题 拿 出 我 们 准 备 好 的 域 名 ， 修 改 N S 记 录 绑 定 到 D N S P o d 上 先 添 加 一 个 域 名 A 记 录 ， 指 向 我 们 的 服 务 器 I P 想 用 C o b a l t   S t r i k e 的 D N S   B e a c o n 话 ， 我 们 还 需 要 添 加 两 个 域 名 的 N S 记 录 注 意 ： 记 录 值 要 填 写 刚 刚 设 置 A 记 录 的 二 级 域 名 f u c k . x x x . c o m ， 最 后 设 置 好 如 图 所 示 下 面 开 始 配 置 C o b a l t   S t r i k e ， 生 成 后 门 添 加 一 个 l i s t e n e r ， 选 择 第 一 个 b e a c o n _ d n s 就 是 走 D N S 隧 道 协 议 ， 隐 蔽 性 极 强 ， 不 开 任 何 端 口 。 （ 缺 点 ： 响 应 速 度 慢 ）
配 置 好 监 听 后 ， 就 开 始 生 成 后 门 吧 目 标 是 3 2 位 的 就 默 认 就 好 ， 6 4 位 的 就 勾 选 下 选 项 即 可 生 成 好 木 马 ， 就 利 用 一 些 猥 琐 的 手 段 放 进 目 标 机 运 行 咯 （ 笔 者 这 里 就 直 接 复 制 进 去 双 击 了 ～ ～ ）
注 意 还 未 运 行 前 端 口 开 放 状 态
运 行 木 马 后 ， C o b a l t   S t r i k e 已 经 呈 现 出 一 个 主 机 会 话 了 可 以 发 现 ， 会 话 延 迟 很 高 ！ 主 机 的 一 些 信 息 都 还 没 反 应 过 来 ！ 此 时 我 们 再 来 看 看 主 机 端 口 开 放 情 况
与 运 行 前 并 无 什 么 差 别 的 ～ 现 在 也 有 很 多 后 门 传 输 开 始 走 D N S 隧 道 了 ， 比 以 往 走 H T T P 、 T C P 等 更 难 察 觉 ， 传 送 门 h t t p : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 1 0 8 1 5 . h t m l
笔 者 对 此 方 式 的 理 解 如 下 ： （ 错 误 之 处 ， 请 提 出 一 起 交 流 学 习 ～ ） 木 马 向 D N S 服 务 器 n s 1 . x x x . x x x 发 起 通 信 — — > D N S 服 务 器 n s 1 . x x x . x x x 指 向 域 名 f u c k . x x x . x x x — — > 域 名 f u c k . x x x . x x x 指 向 V P S 的 i p — — > 木 马 与 V P S 建 立 D N S 隧 道 连 接 V P S 上 的 t e a m s e r v e r 向 本 机 C o b a l t   S t r i k e 返 回 主 机 会 话 后 面 怎 么 利 用 就 是 b e a c o n > h e l p   查 看 命 令 自 己 造 吧 ～ ～ 那 么 ， 我 们 试 试 不 走 D N S 隧 道 呢 ？ 再 添 加 个 监 听 ， 走 h t t p 通 道         重 新 生 成 个 后 门 ， 运 行 后 ， 返 回 了 主 机 会 话 （ 速 度 很 快 ） 此 时 ， 我 们 查 看 下 目 标 主 机 端 口 开 放 情 况
这 就 是 走 H T T P 传 输 了 ， 端 口 开 放 可 以 被 探 测 到 ， 但 这 种 模 式 传 输 数 据 相 对 要 快 很 多 了 后 面 深 入 应 用 就 不 在 此 文 表 述 了 ， 仅 为 抛 砖 引 玉 ～ 参 考 ：   h t t p s : / / b l o g . c o b a l t s t r i k e . c o m / 2 0 1 3 / 0 6 / 0 6 / d n s - c o m m a n d - a n d - c o n t r o l - a d d e d - t o - c o b a l t - s t r i k e / h t t p s : / / w w w . c o b a l t s t r i k e . c o m / h e l p - d n s - b e a c o n
* 原 创 作 者 ： 补 丁 君 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理