网站建设佰首选金手指十四,phpcms校园网站,wordpress搭建多人博客,vp(永久免费)加速器下载数据管理 Cobalt Strike 的团队服务器是行动期间Cobalt Strike 收集的所有信息的中间商。Cobalt Strike 解析来 自它的 Beacon payload 的输出#xff0c;提取出目标、服务和凭据。 如果你想导出 Cobalt Strike 的数据#xff0c;通过 Reporting → Export Data 。Cobalt Str…数据管理 Cobalt Strike 的团队服务器是行动期间 Cobalt Strike 收集的所有信息的中间商。Cobalt Strike 解析来 自它的 Beacon payload 的输出提取出目标、服务和凭据。 如果你想导出 Cobalt Strike 的数据通过 Reporting → Export Data 。Cobalt Strike 提供两种选 项把数据导出为 TSV 或 XML 文件。Cobalt Strike 客户端的导出数据功能会融合来自你当前连接的所 有团队服务器的数据。目标
你可以通过 View → Targets 来与 Cobalt Strike 的目标的信息交互。这个标签页显示与目标表视图 相同的信息。
点击 Import 来导入一个带有目标信息的文件。Cobalt Strike 接受每行一个主机的 flflat 文本文件也接受由 Nmap 生成的 XML 文件-oX 选项 Flat File 是一种包含没有相对关系结构的记录的文件。 这个类型通常用来描述文字处理、其他结 构字符或标记被移除了的文本。在此可以理解为「纯文本文件」。 点击 Add 按钮来给 Cobalt Strike 的数据模型添加新的目标。 这个对话框允许你向 Cobalt Strike 的数据库添加多个主机。在 Address 地址字段指定一个 IP 地 址的范围或使用 CIDR 表示法来一次添加多个主机。在给数据模型添加主机时按住 shift 可以使得 在点击 Save 之后仍保持这个对话框打开。 选择一个或多个主机然后单击右键来打开主机菜单。通过这个菜单你可以修改对主机的备注、设置它们的操作系统信息或者从这个数据模型中移除主机。 服务
在一个 Target 目标视图中在一台主机上单击右键并选择 Services 服务。这会打开 Cobalt Strike 的服务浏览器。在这里你可以浏览服务给不同的服务备注也可以移除服务条目。凭据
通过 View → Credentials 来与 Cobalt Strike 的凭据模型交互。点击 Add 按钮来给凭据模型添加一 条条目。同样的你也可以按住 Shift 键来保持对话框打开并使得给模型添加新的凭据更方便。点击 Copy 来复制高亮的条目至你的剪贴板。使用 Export 来以 PWDump 格式导出凭据。维持
Cobalt Strike 的数据模型将其所有的状态和状态元数据存储在 data/ 文件夹。 data/ 文件夹存在在你 运行 Cobalt Strike 团队服务器的那个文件夹里。 要清除 Cobalt Strike 的数据模型停止团队服务器删除 data/ 文件夹及其内容。当你下次启动团队 服务器的时候Cobalt Strike 会重建 data/ 文件夹。 如果你想要存档数据模型请停止团队服务器然后使用你喜欢的程序来将 data/ 文件夹及其文件存储 在其他位置。要还原数据模型请停止团队服务器然后将旧内容还原到 data/ 文件夹。 通过 Reporting → Reset Data 可以在不重启团队服务器的情况下重置 Cobalt Strike 的数据模型。监听器和基础设施管理 任何行动的第一步都是建立基础设施。就 Cobalt Strike 而言基础设施由一个或多个团队服务器、重 定向器以及指向你的团队服务器和重定向器的 DNS 记录组成。一旦团队服务器启动并运行你将需要 连接到它并将其配置为接收来自受害系统的连接。监听器就是 Cobalt Strike 中用来执行这种任务的机 制。 一个监听器既是一个 payload 的配置信息同时又是 Cobalt Strike 起一个服务器来接收来自这个 payload 的连接的指示。一个监听器由用户定义的名称、payload 类型和几个特定于 payload 的选项组成.监听器管理 要管理 Cobalt Strike 的监听器通过 Cobalt Strike → Listeners 。这会打开一个标签页列举出 所有你的配置的 payload 和监听器。 按 Add 按钮来创建一个新的监听器。 当你创建一个监听器确保你给他一个好记的名称。在 Cobalt Strike 的命令和工作流程中你需要使用此名称来引用此监听器。 要编辑监听器选中一个监听器然后按 Edit 。 要移除一个监听器选中该监听器然后按 Remove 。 Cobalt Strike 的 Beacon Payload 最常见的情况是你需要为 Cobalt Strike 的 Beacon payload 配置监听器。Beacon 是 Cobalt Strike 的 payload用于建模高级攻击者。使用 Beacon 来通过 HTTPHTTPS 或 DNS 出口网络。你也可以 通过控制经由命名管道和 TCP sockets 的对等peer-to-peerBeacon 从而限制出口网络只允许部 分主机直接回连。 Beacon 很灵活支持异步通信模式和交互式通信模式。异步通信效率缓慢Beacon 会回连团队服务器、下载其任务然后休眠。交互式通信是实时发生的。 Beacon 的网络流量指标具有拓展性。可以使用 Cobalt Strike 的可拓展的 C2 语言来重新定义 Beacon 的通信。这允许你掩盖 Beacon 行动比如使其流量看起来像其他的恶意软件又或者将其流量掺入作为合法流量。 Payload Staging 在很多攻击框架的设计中解耦了攻击和攻击执行的内容。payload 就是攻击执行的内容。payload 通常被分为两部分payload stage 和 payload stager。stager 是一个小程序通常是手工优化的汇编指令用于下载一个payload stage、把它注入内存然后对其传达执行命令。这个过程被称为 staging分阶段。 staging分阶段过程在一些攻击行动中是必要的。很多攻击中对于能加载进内存并在成功漏洞利用 后执行的数据大小存在严格限制。这会极大地限制你的后渗透选择除非你分阶段传送你的后渗透payload。 Cobalt Strike 在它的用户驱动攻击中使用 staging分阶段。大多数这类项目在 Attacks → Packages 和 Attacks → Web Drive-by 选项下。使用什么样的 stager 取决于与攻击配对的 payload。比如HTTP Beacon 有一个 HTTP stager。DNS Beacon 有一个 DNS TXT 记录 stager。 不是所有的 payload 都有 stager 选项。没有 stager 的 Payload 不能使用这些攻击选项投递。 如果你不需要 payload staging分阶段通过在你的 C2 拓展文件里把 host_stage 选项设为 false你可以关闭这个选项。这会阻止 Cobalt Strike 在其 web 和 DNS 服务器上托管 payload stage。这种设置有助于提升行为安全避免反溯源因为如果开启了 staging分阶段任何人都能连到你的服务器上请求一个 payload、并分析它的内容从而可以从你的 payload 配置中获取信息。 HTTP Beacon 和 HTTPS Beacon 默认设置情况下HTTP 和 HTTPS Beacon 通过 HTTP GET 请求来下载任务。这些 Beacon 通过 HTTP POST 请求传回数据。你也可以通过 C2 拓展文件来极尽可能的控制这个 payload 的行为和流量指标。要起一个 HTTP 或 HTTPS Beacon 监听器通过 Cobalt Stike → Listeners 。点击 Add 按钮选择 Beacon HTTP 作为你的 payload 选项。 按 [] 来为 HTTP Beacon 增加一个或多个回连的主机。按 [-] 来移除一个或多个主机。按 [X] 来清除当前的主机。如果你有多个主机仍然可以在此对话框中粘贴以逗号分隔的回连主机列表这是可行的。 HTTP Host(Stager) 字段控制 HTTP Beacon 的 HTTP Stager 的主机。仅当你将此 payload 与需要显式 stager 的攻击配对时才使用此值。 通过 Profile 字段你可以选择一个 C2 拓展文件变体。通过一个 C2 文件变体你可以在一个文件中指定多个配置文件的变量。使用变体文件之后你设置的每个 HTTP 或 HTTPS 监听器会有不同的网络流量指标。 HTTP Port(C2) 字段设置你的 HTTP Beacon 回连的端口。 HTTP Port(Bind) 字段指定你的 HTTP Beacon payload web 服务器绑定的端口。如果你要设置端口弯曲重定向器例如接受来自 80 或 443 端口的连接但将连接路由到团队服务器开在另一个端口上的连接这样的重定向器那么这些选项会很有用。 如果 HTTP Host Header 值被指定了会影响你的 HTTP stagers并通过你的 HTTP 通信。这个选项使得通过 Cobalt Strike 利用域名前置变得更加容易。 点击 HTTP Proxy 字段旁边的 ... 按钮来为此 payload 指定一个显式的代理配置。 (Manual) Proxy Settings 对话框提供了多个选项来控制 Beacon 的 HTTP 和 HTTPS 请求的代理配置。Beacon 的默认行为是为当前的进程/用户上下文使用 Internet Explorer 代理配置。 Proxy Type 字段配置了代理的类型。 Proxy Host 和 Proxy Port 字段告诉 Beacon 代理在哪里运行。 Username 和 Password 字段是可选的这些字段指定了 Beacon 用来对代理进行身份验证的凭据。 勾选 Ignore proxy settings;use direct connection 忽略代理设置使用直连来强制Beacon 不通过代理尝试其 HTTP 和 HTTPS 请求。 当你填写好代理配置之后点击 Set 来更新 Beacon 对话框。点击 Reset 可以把代理配置重置为默认行为。 手动的代理设置仅影响 HTTP 和 HTTPS Beacon payload stage不影响 payload stager。 重定向器 重定向器是位于你的目标网络和你的团队服务器之间的系统。任何去往重定向器的连接将转发到你的团队服务器进行处理。通过重定向器可以为你的 Beacon payload 提供多个回连主机。使用重定向器还有助于提升行为安全因为它会使溯源团队服务器的真实地址变得更加困难。 这个 C2 重定向器相当于位于团队服务器这个控制端和失陷主机之间的中转跳板。外界只能看到 重定向器跳板一旦重定向器暴露可以被随时抛弃除非重定向器被反制否则很难追踪到背后真正的控制者。 Cobalt Strike 的监听器管理功能支持使用重定向器。当你设置一个 HTTP 或 HTTPS Beacon 监听器的时候简单的指定你的重定向器 IP 在 Host 字段填入。Cobalt Strike 不会验证这个信息。如果你提供的 host 不隶属于当前主机不是团队服务器的 IP那么 Cobalt Strike 就假设它是重定向器。一种把服务器转变为重定向器的简单方法是使用 socat。下面是一句 socat 语法作用是将80端口上的所有连接转发到位于192.168.12.100的团队服务器的80端口.socat TCP4-LISTEN:80,fork TCP4:192.168.12.100:80 DNS Beacon DNS Beacon 是一个很棒的 Cobalt Strike 功能。这个 payload 使用 DNS 请求来将 Beacon 返回给你。 这些 DNS 请求用于解析由你的 Cobalt Strike 团队服务器作为权威 DNS 服务器的域名。DNS 响应告诉 Beacon 休眠或是连接到团队服务器来下载任务。DNS 响应也告诉 Beacon 如何从你的团队服务器下载任务。在 Cobalt Strike 4.0 及之后的版本中DNS Beacon 是一个仅 DNS 的 payload。在这个payload 中没有 HTTP 通信模式。这是与之前的版本的产品不同的地方。
