工具手册CobaltStrike胡阿斐

CobaltStrike是一款渗透测试神器，常被业界人称为CS神器。CobaltStrike已经不再使用MSF而是作为单独的平台使用，它分为客户端与服务端，服务端是一个，客户端可以有多个，可被团队进行分布式协团操作。

早期版本CobaltSrtike依赖Metasploit框架，而现在CobaltStrike已经不再使用MSF而是作为单独的平台使用。

这个工具的社区版是大家熟知的Armitage(一个MSF的图形化界面工具)，而CobaltStrike大家可以理解其为Armitage的商业版。

CS的发展

接下来会用到的工具和环境

CobaltStrike使用C/S架构，CobaltStrike的客户端连接到团队服务器，团队服务器连接到目标，也就是说CobaltStrike的客户端不与目标服务器进行交互，那么CobaltStrike的客户端如何连接到团队服务器就是本文所学习的东西。

准备工作

CobaltStrike的客户端想连接到团队服务器需要知道三个信息：

知道这些信息后，就可以使用脚本开启团队服务器了，值得注意的是CobaltStrike团队服务器只能运行在Linux环境下。

开启团队服务器

开启团队服务器命令一般如下所示：

服务端开启后，就可以开启客户端进行连接了

连接到团队服务器

在Linux下，直接运行start.sh脚本文件，输入团队服务器的IP、密码和自己的用户名进行连接

点击Connect连接后，会有个提示信息，如果承认提示信息中的哈希值就是所要连接团队服务器的哈希值就点击Yes，随后即可打开CS客户端界面

在Windows下的连接方法也基本一致，直接双击start.bat文件，输入IP、密码、用户名，点击Connect即可

在连接后，团队之间就可以通过客户端进行沟通，信息共享

CobaltStrike不是用来设计指导在一个团队服务器下进行工作的，而是被设计成在一次行动中使用多个团队服务器。

这样设计的目的主要在于运行安全，如果一个团队服务器停止运行了，也不会导致整个行动的失败，所以接下来看看如何连接到多个团队服务器。

连接到多个团队服务器

CobaltStrike连接到多个团队服务器也很简单，直接点击左上角的加号，输入其他团队服务器的信息后，即可连接

最基本的团队服务模型

这里介绍最基本的团队服务模型，具体由三个服务器构成，具体如下所示：

可伸缩红队操作模型

可伸缩红队操作模型（ScalingRedOperations）分为两个层次，第一层次是针对一个目标网络的目标单元；第二层次是针对多个目标网络的权限管理单元。

目标单元的工作：

访问管理单元的工作：

团队角色

日志记录

CobaltStrike的日志文件在团队服务器下的运行目录中的logs文件夹内，其中有些日志文件名例如beacon_11309.log，这里的11309就是beacon会话的ID。

导出报告

CobaltStrike生成报告的目的在于培训或帮助蓝队，在Reporting菜单栏中就可以生成报告，关于生成的报告有以下特点：

报告类型

这一小节学起来感觉有些吃力，里面很多概念理解的不是很清楚，如果有大佬看到描述错误的地方欢迎留言指正，避免误导他人。

一旦监听器建立起来，团队成员只需要知道这个监听器的名称即可，不用关心监听器背后的基础环境，接下来将深入了解如何准确配置监听器。

一个监听器由用户定义的名称、payload类型和几个特定于payload的选项组成。

监听器的名字一般由以下结构组成：

OperatingSystem/Payload/Stager例如：

攻击载荷payload就是攻击执行的内容。攻击载荷通常被分为两部分：传输器stager和传输体stage。

传输器stager是一个小程序，用于连接、下载传输体stage，并插入到内存中。

我个人理解为：攻击载荷里真正用于攻击的代码是在传输体里。

所以为什么要有传输体？直接把攻击载荷插入到内存中不更方便快捷、更香么，搞得又是传输器又是传输体的。

需要传输体是因为在很多攻击中对于能加载进内存，并在成功漏洞利用后执行的数据大小存在严格限制。这就导致在攻击成功时，很难嵌入额外的攻击载荷，正是因为这些限制，才使得传输器变得有必要了。

创建监听器

CobaltStrike有两种类型的监听器：

Beacon是什么

Beacon的类型

创建一个HTTPBeacon

点击CobaltStrike-->Listeners打开监听器管理窗口，点击Add，输入监听器的名称、监听主机地址，因为这里是要创建一个HTTPBeacon，所以其他的默认就行，最后点击Save

此时可以测试一下刚才设置的监听器，点击Attack-->WebDrive-by-->ScriptedWebDelivery(s)，在弹出的窗口中选择刚才新添的Listener，因为我的靶机是64位的，所以我把Usex64payload也给勾选上了，最后点击Launch

复制弹窗的命令，放到靶机中运行

此时，回到CS，就可以看到已经靶机上线了

HTTPSBeacon

DNSBeacon，顾名思义就是使用DNS请求将Beacon返回。这些DNS请求用于解析由你的CS团队服务器作为权威DNS服务器的域名。DNS响应告诉Beacon休眠或是连接到团队服务器来下载任务。DNS响应也告诉Beacon如何从你的团队服务器下载任务。

在CS4.0及之后的版本中，DNSBeacon是一个仅DNS的Payload，在这个Payload中没有HTTP通信模式，这是与之前不同的地方。

DNSBeacon的工作流程具体如下：

首先，CS服务器向目标发起攻击，将DNSBeacon传输器嵌入到目标主机内存中，然后在目标主机上的DNSBeacon传输器回连下载CS服务器上的DNSBeacon传输体，当DNSBeacon在内存中启动后就开始回连CS服务器，然后执行来自CS服务器的各种任务请求。

原本DNSBeacon可以使用两种方式进行传输，一种是使用HTTP来下载Payload，一种是使用DNSTXT记录来下载Payload，不过现在4.0版本中，已经没有了HTTP方式，CS4.0以及未来版本都只有DNSTXT记录这一种选择了，所以接下来重点学习使用DNSTXT记录的方式。

根据作者的介绍，DNSBeacon拥有更高的隐蔽性，但是速度相对于HTTPBeacon什么的会更慢。

域名配置

既然是配置域名，所以就需要先有个域名，这里就用我的博客域名作为示例：添加一条A记录指向CS服务器的公网IP，再添加几条ns记录指向A记录域名即可。

添加一个监听器，DNSHosts填写NS记录和A记录对应的名称，DNSHost填写A记录对应的名称

根据上一章的方法创建一个攻击脚本，放到目标主机中运行后，在CS客户端可以看到一个小黑框

SMBBeacon使用命名管道通过一个父Beacon进行通信。这种对等通信对同一台主机上的Beacon和跨网络的Beacon都有效。Windows将命名管道通信封装在SMB协议中。因此得名SMBBeacon。

因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMBBeacon相对隐蔽，绕防火墙时可能发挥奇效(系统防火墙默认是允许445的端口与外界通信的，其他端口可能会弹窗提醒，会导致远程命令行反弹shell失败)。

SMBBeacon监听器对“提升权限”和“横向渗透”中很有用。

SMBBeacon配置

首先需要一个上线的主机，这里我使用的HTTPBeacon，具体如何上线，可以参考之前第5节《如何建立Payload处理器》学习笔记中的内容，这里不过多赘述。

主机上线后，新建一个SMBBeacon，输入监听器名称，选择BeaconSMB，管道名称可以直接默认，也可以自定义。

接下来在Beacon中直接输入spawnSMB，这里的SMB指代的是创建的SMBBeacon的监听器名称，也可以直接右击session，在Spawn选项中选择刚添加的SMBBeacon。

等待一会儿，就可以看到派生的SMBBeacon，在external中可以看到IP后有个∞∞字符。

接下来我这里将SMBBeacon插入到进程中，以vmtoolsed进程为例。

在vmtoolsed中插入SMBBeacon后，便能看到process为vmtoolsed.exe的派生SMBBeacon。

当上线主机较多的时候，只靠列表的方式去展现，就显得不太直观了，通过CS客户端中的透视图便能很好的展现。

在CS中，如果获取到目标的管理员权限，在用户名后会有*号标注，通过这个区别，可以判断出当前上线的test用户为普通权限用户，因此这里给他提升一下权限。

提权

由于下面与上面内容的笔记不是在同一天写的，因此截图中上线的主机会有所差异，这里主要是记录使用的方法。

下载之后，打开CobaltStrike-->ScriptManager，之后点击Load，选择自己刚才下载的文件中的elevate.cna文件。

接着选择要提权的主机，右击选择Access-->Elevate，Listener中选择刚才新建的SMBBeacon，这里的Exploit选择了ms14-058，如果使用ms14-058不能提权，就换一个Exploit进行尝试。

顺利的情况下，就可以看到提权后的管理员权限会话了，在管理员权限的会话中，不光用户名后有个*号，其Logo也是和其他会话不同的。

连接与断开

此时如果想断开某个会话的连接，可以使用unlink命令，比如如果想断开192.168.175.144，就可以在Beacon中输入unlink192.168.175.144

如果想再次连上，就直接输入link192.168.175.144，想从当前主机连到其他主机也可以使用此命令。

重定向器Redirectors是一个位于CS团队服务器和目标网络之间的服务器，这个重定向器通俗的来说就是一个代理工具，或者说端口转发工具，担任CS服务器与目标服务器之间的跳板机角色，整体流量就像下面这样。

目标靶机<-------->多个并列的重定向器<------>CS服务器重定向器在平时的攻击或者防御的过程中起到很重要的作用，主要有以下两点：

创建一个重定向器

这里就使用自己的内网环境作为测试了，首先理清自己的IP

CS服务器IP：192.168.175.129

目标靶机IP：192.168.175.130

重定向器IP：192.168.175.132、192.168.175.133

首先，需要先配置重定向器的端口转发，比如这里使用HTTPBeacon，就需要将重定向器的80端口流量全部转发到CS服务器上，使用socat的命令如下：

如果提示没有socat命令，安装一下即可。重定向器设置好之后，就新建一个HTTPBeacon，并把重定向器添加到HTTPHosts主机列表中

此时可以测试一下重定向器是否正常工作，在CS中打开View-->WebLog，之后浏览器访问CS服务器地址，也就是这里的192.168.175.129

可以看到CS是能够正常接收到流量的，说明重定向器已经配置OK了，此时按照上面创建一个HTTPBeacon的操作，创建一个HTTPBeacon，并在靶机中运行

当靶机上线的时候，观察靶机中的流量，可以看到与靶机连接的也是重定向器的IP

在CS中也可以看到上线主机的外部IP也是重定向器的IP，此时如果关闭一个重定向器，系统依旧可以正常工作。

1、在Beacon传输Payload到目标上执行任务时都会先验证团队服务器，以确保Beacon只接受并只运行来自其团队服务器的任务，并且结果也只能发送到其团队服务器。

2、在刚开始设置BeaconPayload时，CS会生成一个团队服务器专有的公私钥对，这个公钥嵌入在Beacon的PayloadStage中。Beacon使用团队服务器的公钥来加密传输的元数据，这个元数据中一般包含传输的进程ID、目标系统IP地址、目标主机名称等信息，这也意味着只有团队服务器才能解密这个元数据。

3、当Beacon从团队服务器下载任务或团队服务器接收Beacon输出时，团队服务器将会使用Beacon生成的会话秘钥来加密任务并解密输出。

4、值得注意的是，PayloadStagers因为其体积很小，所以没有这些的安全特性。

什么是客户端攻击

客户端攻击根据教程直译过来就是一种依靠应用程序使用控制端来进行的可视化攻击。

原文：Aclient-sideattackisanattackagainstanapplicationusedtoviewattackercontrolledcontent.

为什么要进行客户端攻击

随着时代发展到了今天，在有各种WAF、防火墙的情况下，各种漏洞已经很难像过去那么好被利用了，攻击者想绕过防火墙发动攻击也不是那么容易的了。

而当我们发送一个钓鱼文件到客户端上，再由客户端打开这个文件，最后客户端穿过防火墙回连到我们，此时在客户端上我们就获得了一个立足点foothold。这样的一个过程是相对而言是较为容易的，这也是为什么要进行客户端攻击。

如何获得客户端上的立足点

1、尽可能多的了解目标环境，即做好信息收集工作

2、创建一个虚拟机，使它与目标环境尽可能的一致，比如操作系统、使用的浏览器版本等等都需要保证严格一致

3、攻击刚刚创建的虚拟机，这会是最好的攻击目标

4、精心策划攻击方法，达到使目标认为这些攻击行为都是正常行为的效果

5、将精心制作的钓鱼文件发送给目标，比如钓鱼邮件

如果这五步都非常细致精心的去准备，那么攻击成功的概率会大幅提升。

系统侦察SystemProfiler是一个方便客户端攻击的侦察工具，这个工具将会在CS服务端上启动一个Web服务，这样当目标访问这个Web服务的时候，我们就能够看到目标使用的浏览器、操作系统等等指纹信息。

设置系统侦察需要首先在自己的VPS服务器上运行CS服务端，之后本地客户端进行连接，选择SystemProfiler功能模块，配置待跳转的URL等信息即可。

如果勾选了UseJavaApplettogetinformation则可以发现目标的Java版本及内网IP地址，但是这样做被发现的风险就会提高，同时现在浏览器已经默认关闭了java执行权限，因此这个选项的作用也变得不大了。

配置完后，当用户打开配置后的链接，我们可以在三个地方进行观察

1、View-->Applications2、View-->WebLog3、CobaltStrike-->Visualization-->TargetTable目标用户打开链接时，我们在CS上就能够看到目标使用的浏览器版本、系统版本等信息了，知道了版本信息，就能够进一步知道目标上可能存在什么漏洞。

值得注意的一点是如果CobaltStrike的web服务器收到了lynx、wget或curl的请求，CS会自动返回一个404页面，这样做是为了防御蓝队的窥探。

用户驱动攻击

用户驱动攻击User-DrivenAttacks需要欺骗用户产生交互才行，但也有许多的优点。

首先用户驱动攻击不包含恶意攻击代码，所以用户系统上的安全补丁是没用的；其次无论目标使用什么版本的程序，我们都可以创建相应的功能来执行；最后因为用户驱动攻击十分可靠，也使得它很完美。

当我们采取行动来追踪并需要攻击时，它就像用户本地执行程序一样，CS为我们提供了几个用户驱动攻击的选项，分别如下：

用户驱动攻击包User-DrivenAttacksPackages功能打开位置：Attacks-->Packages

1、HTML应用

HTML应用HTMLApplication生成(executable/VBA/powershell)这3种原理不同的VBScript实现的evil.hta文件。

2、MicrosoftOffice宏文件

MicrosoftOffice宏文件MicrosoftOfficeDocumentMacros可以生成恶意宏放入office文件，非常经典的攻击手法。

3、Payload生成器

Payload生成器PayloadGenerator可以生成各种语言版本的Payload，便于进行免杀。

4、Windows可执行文件

Windows可执行文件WindowsExecutable会生成一个Windows可执行文件或DLL文件。默认x86，勾选x64表示包含x64payloadstage生成了artifactX64.exe(17kb)artifactX64.dll(17kb)

5、Windows可执行文件（Stageless）

Windows可执行文件（Stageless）WindowsExecutable(Stageless)会生成一个无进程的Windows可执行文件或DLL文件。其中的Stageless表示把包含payload在内的"全功能"被控端都放入生成的可执行文件beconX64.exe(313kb)beconX64.dll(313kb)becon.ps1(351kb)

用户驱动Web交付攻击User-DrivenWebDrive-byAttacks功能打开位置：Attacks-->WebDrive-by

1、java签名applet攻击

java签名applet攻击JavaSignedAppletAttack会启动一个Web服务以提供自签名JavaApplet的运行环境，浏览器会要求用户授予applet运行权限，如果用户同意则实现控制，但目前该攻击方法已过时。

2、Java智能Applet攻击

Java智能Applet攻击JavaSmartAppletAttack会自动检测Java版本并利用已知的漏洞绕过安全沙箱，但CS官方称该攻击的实现已过时，在现在的环境中无效。

3、脚本化Web交付

脚本化Web交付ScriptedWebDelivery为payload提供web服务以便于下载和执行，类似于MSF的ScriptWebDelivery

4、托管文件

托管文件HostFile通过Attacks-->WebDrive-by-->HostFile进行配置，攻击者可以通过这个功能将文件上传到CS服务端上，从而进行文件托管。

如果想删除上传到CS服务端上的文件，可以到Attacks-->WebDrive-by-->Manage下进行删除。

如果想查看谁访问了这些文件，可以到View-->WebLog下进行查看。

首先来到Attacks-->Packages-->HTMLApplication创建一个HTML应用，如果没有创建监听的话，还需要创建一个监听。

HTML应用文件生成好后，来到Attacks-->WebDrive-by-->HostFile，选择刚才生成的文件，最后点击Launch，复制CS创建的链接，在目标主机上打开此链接。

当在目标主机上提示是否运行时，点击运行。

当该文件在目标上运行后，CS客户端上就可以看到回连的会话了。

如果想使用MSF对目标进行漏洞利用，再通过这个漏洞来传输Beacon的话，也是可以的。

1、首先在MSF上选择攻击模块

3、之后在MSF中设置Payload的LHOST、LPORT为CS中Beacon的监听器IP及端口。

4、然后设置DisablePayloadHandler为True，此选项会让MSF避免在其内起一个handler来服务你的payload连接，也就是告诉MSF说我们已经建立了监听器，不必再新建监听器了。

5、再设置PrependMigrate为True，此选项让MSF前置shellcode在另一个进程中运行payloadstager。如果被利用的应用程序崩溃或被用户关闭，这会帮助Beacon会话存活。

6、最后运行exploit-j，-j是指作为job开始运行，即在后台运行。

操作

在CS中新建一个HTTPBeacon，创建过程不再赘述。

1、在MSF中选择攻击模块，根据教程这里选择的adobe_flash_hacking_team_uaf模块，不过个人感觉现在这个模块已经不太能被利用成功了。

setDisablePayloadHandlerTruesetPrependMigrateTrue4、最后，开始攻击。

在向目标发送漏洞程序之前，我们将自己进行伪装一下，这样可以更好的保护自己，同时提高成功率。CS上有个克隆网站的功能，能够较好的帮助到我们。

首先，来到Attacks-->WebDrive-by-->CloneSite下，打开克隆网站的功能，之后写入待克隆网站的URL，在Attack中写入MSF中生成的URL。

其中Logkeystrokesonclonedsite选项如果勾选则可以获取目标的键盘记录，记录结果在WebLog中能够查看。

之后，浏览器打开克隆站点地址，如果目标存在漏洞，就可以被利用了，同时在CS中也会观察到主机上线。

用CS进行钓鱼需要四个步骤：

1、创建一个目标清单

2、制作一个邮件模板或者使用之前制作好的模板

3、选择一个用来发送邮件的邮件服务器

4、发送邮件

目标清单

目标清单就是每行一个邮件地址的txt文件，即每行包含一个目标。

在一行中除了邮件地址也可以使用标签或一个名字。如果提供了名称，则有助于CobaltStrike自定义每个网络钓鱼。

模板

使用模板的好处在于可以重复利用，制作钓鱼模板也很简单。

首先可以自己写一封邮件发给自己，或者直接从自己收件箱挑选一个合适的。有了合适的邮件之后，查看邮件原始信息，一般在邮件的选项里能找到这个功能。最后将邮件的原始信息保存为文件，一个模板就制作完成了。

发送邮件

有了目标和模板，然后选好自己的邮件服务器，之后就可以发送消息了。

所有信息添加完成后，可以点击Preview查看。如果感觉效果不错，就可以点击send发送了。

当目标收到钓鱼邮件，并且点击钓鱼邮件中的链接后，如果钓鱼链接配置的没有问题，CS就能够上线了。

由于此处是仅作为测试用途，所以模板中的链接都是自己的本地内网CS服务器地址，如果是真实环境中，则自然需要使用公网的地址才行。

在真实环境中的钓鱼邮件也不会像这里这么浮夸，真实环境中的钓鱼邮件往往都伪装成和正经儿的邮件一模一样，单从表面上看很难看出区别，因此提高自己的安全意识还是很重要滴。

Beacon控制台

Beacon控制台是在使用CS的过程中，很经常用到的功能，向Beacon发出的每个命令，都可以在这里看到，如果队友发送了消息，在Beacon控制台同样能看到，消息前还会显示队友的名称。

Beacon菜单

Access：包含了一些对凭据的操作及提权的选项

Explore：包含了信息探测与目标交互的选项

Pivoting：包含了一些设置代理隧道的选项

Session：包含了对当前Beacon会话管理的选项

Beacon命令

help：查看Beacon命令的帮助信息。使用help+待查看帮助的命令可查看该命令的帮助信息。

clear：清除Beacon命令队列。Beacon是一个异步的Payload，输入的命令并不会立即执行，而是当Beacon连接到团队服务器时再一一执行命令，因此当需要清除队列命令时就可以使用clear命令。

shell：通过受害主机的cmd.exe执行命令。比如运行ipconfig，就需要输入shellipconfig

run：不使用cmd.exe执行命令。该命令也是run+命令的形式运行，该命令会将执行结果回显。

execute：执行命令，但不回显结果。

cd：切换当前工作目录。

pwd：查看当前所在目录。

powershell：通过受害主机的PowerShell执行命令。比如想在PowerShell下运行ipconfig，就需要输入powershellipconfig

powerpick：不使用powershell.exe执行powershell命令。这个命令依赖于由LeeChristensen开发的非托管PowerShell技术。powershell和powerpick命令会使用当前令牌（token）。

psinject：将非托管的PowerShell注入到一个特定的进程中并从此位置运行命令。

powershell-import：导入PowerShell脚本到Beacon中。直接运行powershell-import+脚本文件路径即可，但是这个脚本导入命令一次仅能保留一个PowerShell脚本，再导入一个新脚本的时候，上一个脚本就被覆盖了，因此可以通过导入一个空文件来清空Beacon中导入的脚本。

execute-assembly：将一个本地的.NET可执行文件作为Beacon的后渗透任务来运行。

setenv：设置一个环境变量。

Beacon被设计的最初目的就是向其他的CS监听器传递会话。

spawn：进行会话的传递，也可直接右击会话选择spawn命令进行会话的选择。默认情况下，spawn命令会在rundll32.exe中派生一个会话。为了更好的隐蔽性，可以找到更合适的程序（如InternetExplorer）并使用spawnto命令来说明在派生新会话时候会使用Beacon中的哪个程序。

spawnto：该命令会要求指明架构（x86还是x64）和用于派生会话的程序的完整路径。单独输入spawnto命令然后按enter会指示Beacon恢复至其默认行为。

inject：输入inject+进程id+监听器名来把一个会话注入一个特定的进程中。使用ps命令来获取一个当前系统上的进程列表。使用inject[pid]x64来将一个64位Beacon注入到一个64位进程中。

spawn和inject命令都将一个payloadstage注入进内存中。如果payloadstage是HTTP、HTTPS或DNSBeacon并且它无法连接到你，那么将看不到一个会话。如果payloadstage是一个绑定的TCP或SMB的Beacon，这些命令会自动地尝试连接到并控制这些payload。

dllinject：dllinject+[pid]来将一个反射性DLL注入到一个进程中。

shinject：使用shinject[pid][架构][/路径/.../file.bin]命令来从一个本地文件中注入shellcode到一个目标上的进程中。

shspawn：使用shspawn[架构][/路径/.../file.bin]命令会先派生一个新进程（这个新进程是spawnto命令指定的可执行文件），然后把指定的shellcode文件（file.bin）注入到这个进程中。

dllload：使用dllload[pid][c:\路径\...\file.dll]来在另一个进程中加载磁盘上的DLL文件。

会话传递使用场景

1、将当前会话传递至其他CS团队服务器中，直接右击spawn选择要传递的监听器即可。

2、将当前会话传递至MSF中，这里简单做一下演示。

首先，在MSF中，为攻击载荷新建一个payload

浏览会话系统文件位置在右击会话处，选择Explore-->FileBrowser即可打开。在这里可以对当前会话下的文件进行浏览、上传、下载、删除等操作。

在进行文件浏览时，如果beacon设置的sleep值较高，CS会因此而变得响应比较慢。

彩色文件夹表示该文件夹的内容位于此文件浏览器的缓存中；深灰色的文件夹表示该文件夹的内容不在此文件浏览器缓存中。

文件下载

download：下载请求的文件。Beacon会下载它的任务要求获取的每一个文件的固定大小的块。这个块的大小取决于Beacon当前的数据通道。HTTP和HTTPS通道会拉取512kb的数据块。

downloads：查看当前Beacon正在进行的文件下载列表。

cancel：该命令加上一个文件名来取消正在进行的一个下载任务。也可以在cancel命令中使用通配符来一次取消多个文件下载任务。

下载文件都将下载到CS团队服务器中，在View-->Download下可看到下载文件的记录，选中文件后使用SyncFiles即可将文件下载到本地。

文件上传

upload：上传一个文件到目标主机上。

Beacon运行任务的方式是以jobs去运行的，比如键盘记录、PowerShell脚本、端口扫描等，这些任务都是在beaconcheckin之间于后台运行的。

jobs：查看当前Beacon中的任务

jobkill：加上任务ID，对指定任务进行停止

屏幕截图

screenshot：获取屏幕截图，使用screenshotpid来将截屏工具注入到一个x86的进程中，使用screenshotpidx64注入到一个x64进程中，explorer.exe是一个好的候选程序。

使用screenshot[pid][x86|x64][time]来请求截屏工具运行指定的秒数，并在每一次Beacon连接到团队服务器的时候报告一张屏幕截图，这是查看用户桌面的一种简便方法。要查看截屏的具体信息，通过View-->Screenshots来浏览从所有Beacon会话中获取的截屏。

键盘记录

keylogger：键盘记录器，使用keyloggerpid来注入一个x86程序。使用keyloggerpidx64来注入一个x64程序，explorer.exe是一个好的候选程序。

使用单独的keylogger命令来将键盘记录器注入一个临时程序。键盘记录器会监视从被注入的程序中的键盘记录并将结果报告给Beacon，直到程序终止或者自己杀死了这个键盘记录后渗透任务。要查看键盘记录的结果，可以到View-->Keystrokes中进行查看。

其他

除了上述使用命令的方式进行屏幕截图和键盘记录，也可以来到Explore-->ProcessList下选择要注入的进程，再直接点击屏幕截图或键盘记录的功能按钮。

从使用上，具体注入那个程序都是可以的，只是注入explorer.exe会比较稳定与持久。值得注意的是，多个键盘记录器可能相互冲突，每个桌面会话只应使用一个键盘记录器。

找到目前正在使用IE浏览器的目标后，右击该会话，选择Explore-->BrowserPivot，随后选择要注入的进程，CS会在它认为可以注入的进程右边显示一个对勾，设置好端口后，点击运行即可。

portscan：进行端口扫描，使用参数为：portscan[targets][ports][discoverymethod]。

目标发现discoverymethod有三种方法，分别是：arp、icmp、none，arp方法使用ARP请求来发现一个主机是否存活。icmp方法发送一个ICMPecho请求来检查一个目标是否存活。none选项让端口扫描工具假设所有的主机都是存活的。

端口扫描会在Beacon和团队服务器通讯的这个过程中不停运行。当它有可以报告的结果，它会把结果发送到Beacon控制台。CobaltStrike会处理这个信息并使用发现的主机更新目标模型。

右击Beacon会话，在Explore-->PortScan中即可打开端口扫描的图形窗口，CS会自动填充扫描地址，确认扫描地址、端口、扫描方式等无误后，开始扫描即可。扫描结束后，在targettable页面中可看到扫描结果，右击会话，选择Services可查看详细的扫描结果。

自Windowsvista开始，Windows系统引进了用户账户控制机制，即UACUserAccountControl机制，UAC机制在Win7中得到了完善。UAC与UNIX中的sudo工作机制十分相似，平时用户以普通权限工作，当用户需要执行特权操作时，系统会询问他们是否要提升权限。

此时系统用户可分为以下三种等级：

高：管理员权限

中：一般用户权限

低：受限制的权限

使用whoami/groups命令可以看到当前用户所在的组以及权限，使用netlocalgroupadministrators可以查看当前在管理员组里的用户名。

当某些操作需要管理员权限，而当前用户权限只有一般用户权限时，就需要提权操作了。

在CS中有以下几种提权操作：

bypassuac：将本地中级管理员权限提升至本地高级管理员权限，适用于Win7及以上的系统。

elevate：将任意用户的权限提升至系统权限，适用于2018年11月更新之前的Win7和Win10系统。

getsystem：将本地高级管理员权限提升至系统权限。

runas：使用其他用户的凭证来以其他用户身份运行一个命令，该命令不会返回任何输出。

spawnas：使用其他用户的凭证来以其他用户身份派生一个会话，这个命令派生一个临时的进程并将payloadstage注入进那个进程。

首先，右击待提权的会话，选择Access-->SpawnAs，输入目标系统用户身份信息，其中域信息填写一个“点”代表本地用户，监听器这里选择的SMB监听器，之后点击运行就能看到对应的用户上线了。

BypassUAC有两个步骤，分别是：

1、利用UAC漏洞来获取一个特权文件副本

2、使用DLL劫持进行代码执行

首先使用shellwhoami/groups查看当前上线主机用户的所属组及UAC等级

通过返回信息可以看出，当前用户为管理员权限，UAC等级为中，根据上一节中关于的介绍，此时可以使用bypassuac进行提权。

首先，右击会话，选择Access-->Elevate，这里选择一个SMBBeacon，Exploit选择uac-token-duplication，最后Launch即可。

待BeaconCheckin后，当前用户UAC为高权限的会话便会上线了。

PowerUp所做的事是寻找可能存在弱点的地方，从而帮助提权。

利用PowerUp进行提权需要首先导入ps1文件powershell-importPowerUp.ps1，再执行powershellInvoke-AllChecks命令，使用PowerUp脚本可以快速的帮助我们发现系统弱点，从而实现提权的目的。

PowerUp的使用

执行以下命令：将ps1文件上传到目标主机，并执行所有弱点检查。

powershell-importPowerUp.ps1powershellinvoke-allchecks详细运行过程：

这时为了复现成功可以来到靶机下，以管理员权限打开Powershell，运行set-ExecutionPolicyRemoteSigned，输入Y回车，此时系统便能导入PowerUp.ps1文件了。

想要获取凭证信息，可以在管理员权限的会话处右击选择Access-->DumpHashes，或者在控制台中使用hashdump命令。

想获取当前用户的密码，可以运行mimikatz，右击管理员权限会话选择Access-->RunMimikatz，或在控制台运行logonpasswords命令。

在View-->Credentials下可以查看到hashdump与mimikatz获取的数据。

在Beacon中集成了mimikatz，mimikatz执行命令有三种形式：

下面是一些mimikatz命令。

以上的这些只是mimikatz能做事情的一小部分，下面看看!misc::memssp的使用。

mimikatz!misc::memsspcdC:\Windows\system32shelldirmimilsa.logshelltypemimilsa.log详细运行过程：

首先运行mimikatz!misc::memssp

beacon>mimikatz!misc::memssp[*]Taskedbeacontorunmimikatz's!misc::memsspcommand[+]hostcalledhome,sent:1006151bytes[+]receivedoutput:Injected=)接下来来到C:\Windows\system32目录

查看mimilsa.log文件内容。

活动目录

活动目录ActiveDirectory是一种能够集中管理用户、系统和策略的技术，活动目录的一个重要概念就是域。

域

域Domain即是一个管理员或者说是网络边界，在域里的用户和系统都是通过AD进行管理的。

在域里，如果想控制服务器进行操作就需要取得域的信任。

域控制器

域控制器DomainController顾名思义就是一个对域里的用户和系统进行身份验证的一个系统。

本地用户

本地用户LocalUser就是系统上的一个标准用户。

当我们想在Windows命令行下指定一个本地的用户时，可以通过输入.\本地用户名或者计算机名\本地用户名来指定本地的用户账户，其中.表示计算机名。

域用户

域用户DomainUser是指域控制器下的用户，如果想指定域用户，可以输入域名\域用户名

本地管理员

本地管理员LocalAdministrator即是指在本地系统有管理权限的用户。

域管理员

域管理员DomainAdministrator是指在域控制器上有管理权限的用户。

注意：以下命令是在主机中运行的结果，在CobaltStrike中运行只需要根据命令类型在命令前加上shell或者powershell即可。

一些问题

当进入目标局域网时，需要弄清楚几个问题。

1、我正处在那个域上？

2、域信任关系是什么样的？

3、可以登陆哪些域？这些域上有哪些系统？目标是什么？可以获取什么？

4、系统上存放共享数据的地方在哪里？

一些枚举的命令

PSC:\>netview/domainDomain-------------------------TEAMSSIX命令成功完成。netview/domain:[domain]、netgroup"domaincomputers"/domainPSC:\>netview/domain:teamssix服务器名称注解----------------------------------\\WIN-72A8ERDSF2P\\WIN-P2AASSD1AF1命令成功完成。PSC:\>netgroup"domaincomputers"/domain组名DomainComputers注释加入到域中的所有工作站和服务器成员----------------------------------------------WIN-72A8ERDSF2P$命令成功完成。PSC:\>nltest/dclist:teamssix获得域“teamssix”中DC的列表(从“\\WIN-P2AASSD1AF1”中)。WIN-P2AASSD1AF1.teamssix.com[PDC][DS]站点:Default-First-Site-Name此命令成功完成当使用32位的payload运行在64位的系统上，并且nltest路径不对的时候，可能会提示没有nltest这个命令，这时可以尝试使用下面的命令为其指定路径。

PowerView是由WillSchroeder开发的PowerShell脚本，该脚本完全依赖于Powershell和VMI，使用PowerView可以更好的收集内网中的信息，在使用之前，与上一节PowerUp的一样需要先import导入ps1文件。

一些PowerView的命令：

PSC:\PowerView>Get-NetDomainForest:teamssix.comDomainControllers:{WIN-P2AASSD1AF1.teamssix.com}Children:{}DomainMode:Windows2012DomainParent:PdcRoleOwner:WIN-P2AASSD1AF1.teamssix.comRidRoleOwner:WIN-P2AASSD1AF1.teamssix.comInfrastructureRoleOwner:WIN-P2AASSD1AF1.teamssix.comName:teamssix.comPSC:\PowerView>Invoke-ShareFinder\\WIN-P2AASSD1AF1.teamssix.com\ADMIN$-远程管理\\WIN-P2AASSD1AF1.teamssix.com\C$-默认共享\\WIN-P2AASSD1AF1.teamssix.com\IPC$-远程IPC\\WIN-P2AASSD1AF1.teamssix.com\NETLOGON-Logonservershare\\WIN-P2AASSD1AF1.teamssix.com\SYSVOL-LogonserversharePSC:\PowerView>Invoke-MapDomainTrust其他更多用法可以查看参考链接，或者参考PowerView项目上的ReadMe部分。

CobaltStrike中有自己的net模块，net模块是beacon后渗透攻击模块，它通过windows的网络管理api函数来执行命令，想使用net命令，只需要在beacon的控制中心输入net+要执行的命令即可。

netdclist:列出当前域的域控制器netdclist[DOMAIN]:列出指定域的域控制器netshare\\[name]:列出目标的共享列表netview:列出当前域的主机netview[DOMAIN]:列出指定域的主机在beacon控制台中输入这些命令很类似输入一个本地的net命令，但是有一些些许的不同，比如下面一个是在主机上运行netview的结果一个是在beacon控制台下运行netview的结果。不难看出，beacon下输出的结果更为丰富。

用户枚举的三个关键步骤：

1、当前账号是否为管理员账号？

2、哪些账号是域管理员账号？

3、哪个账号是这个系统上的本地管理员账号？

第一个关键步骤，发现管理员账号。

如果想知道自己是否为管理员账号，可以尝试运行一些只有管理员账号才有权限操作的命令，然后通过返回结果判断是否为管理员。

其中一种方式是尝试列出仅仅只有管理员才能查看的共享列表，比如下面的dir\\host\C$命令，如果可以看到一个文件列表，那么说明可能拥有本地管理员权限。

shelldir\\host\C$#管理员账号运行结果beacon>shelldir\\WinDC\C$[*]Taskedbeacontorun:dir\\WinDC\C$[+]hostcalledhome,sent:55bytes[+]receivedoutput:驱动器\\WinDC\C$中的卷没有标签。卷的序列号是F269-89A7\\WinDC\C$的目录2020/06/2409:29