Cobalt Strike生成后門

1、Payload概念

Payload在滲透測試之中大家可以簡單地理解為一段漏洞利用/植入后門的代碼或程序。

2、Cobalt Strike生成后門

攻擊-->生成后門

我們先來講紅框中的四個生成后門的方式，其余的比較特殊，留作日后單獨講解。

Payload Generator
該模塊可以生成n種語言的后門Payload，包括C，C#，Python，Java，Perl，Powershell腳本，Powershell命令，Ruby,Raw，免殺框架Veli中的shellcod，等...個人感覺這是CS的一個很大的迷人之處。

在滲透Windows主機過程中，我用的比較多的就是Powershell和Powershell Command，主要是因為其方便易用，且可以逃避一下殺毒軟件（AV）的查殺。

以Powershell Command為例，生成的Payload為一串命令，只要在主機上執行這一串命令（主機需安裝Powershell），CS即可收到主機的beacon。

Windows Dropper
這個是一個Windows程序的捆綁器，它可以實現把后門捆綁於其他程序之上，比如掃雷游戲，某些帶有誘惑性的可執行文件...

在本處，我捆綁的文件為nidongde.txt，生成的后門名為dropper.exe。

點擊dropper.exe執行后，釋放出了nidongde.txt文件，同時CS也收到了會話。

Windows Excutable/Windows Excutable(s)
1、Windows Excutable生成的后門是Windows可執行文件，如exe，DLL。

exe文件運行后，CS即可收到目標主機的會話。

2、Windows Excutable帶有生成出的是stageless版本（無狀態Windows后門木馬），下面簡單說下這個無狀態木馬的使用方法。一般使用無狀態木馬的網絡環境是這樣的。

首先你需要讓一台主機作為中轉器，配合無狀態木馬使用。

這里選擇中轉器的監聽器生成木馬。需要注意的是如果開啟了防火牆會產生一個Windows安全警報，因此最好提前用cmd添加一個防火牆放行規則或關閉防火牆，隨后便可將無狀態的木馬上傳到內網的其他機器運行后返回一個會話。