CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

  • A+
所属分类:安全文章

高质量的安全文章,安全offer面试经验分享

尽在 # 掌控安全EDU #


作者:掌控安全-核心成员aj545302905 


前言



今天本来想做个PS1的免杀,但做的时候要用到cobaltstrike来生成ps1后门

刚开始的时候并不知道cobaltstrike是一个用于团队项目的工具,所以过程中出现了很多问题。

为了让大家熟悉cobaltstrike的运行流程

感觉还是很有必要写一篇有关cobaltstrike公网配置的文章。

顺便讲一下一个很不错的免杀脚本

新版本的CS要配合linux服务端才能运行起来。

网上讲CS4.0的文章很多,但是讲的都很不尽人意,都是私人内网使用的介绍,并没有在公网上实现完整的运行流程。


很多小白(像我似的死活不肯买服务器,映射派作风),因为映射很便宜嘛。所以思路习惯固化在映射上,什么监听配置首先都往内网映射上想。


当然,如果你告诉我你想用花生壳是来搞cobaltstrike!

劝你还是早早放弃。(原因不想多解释 你们能搞出来说明你们NB)

所以我也是拿出半天的时间,进行了一下从零开始如何使用服务器的相关操作。

当然啦!作为资深白嫖党买服务器是不可能的 这辈子都不可能的~

就算抓一台linux也不舍得买 哈哈哈哈(开个小玩笑o( ̄▽ ̄)o)

本着白嫖到底的原则,发现腾讯云可以白嫖一台linux的服务器。

大家可以自己去看一下:关注公众号后 就会送你台服务器(很香的呦~)

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

腾讯云利用ssh协议可以直接登录到终端,账号root 密码:在邮箱里

登陆后在终端进行CS的配置:

一.安装JAVA



访问:https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html#jdk-8u121-oth-JPR


下载X64压缩包

jdk-8u202-linux-x64.tar.gz


将压缩包放到phpstudy本地WWW文件夹中(我是开的映射phpstudy)

切记不要直接wget下载地址!!!否则无法运行CS


然后服务器终端运行指令:


wget 映射的公网IP/jdk-8u202-linux-x64.tar.gz


2. 解压缩文件并移动至/opt


  1. tar -xzvf jdk-8u271-linux-x64.tar.gz

  2. mv jdk1.8.0_202 /opt

  3. cd /opt/jdk1.8.0_202


3. 设置环境变量


执行 vim ~/.bashrc , 按”i”并添加下列内容

  1. # install JAVA JDK

  2. export JAVA_HOME=/opt/jdk1.8.0_202

  3. export CLASSPATH=.:${JAVA_HOME}/lib

  4. export PATH=${JAVA_HOME}/bin:$PATH

保存退出 按ESC后再shift+: 输入wq


4. 安装并注册

执行:

  1. update-alternatives --install /usr/bin/java java /opt/jdk1.8.0_202/bin/java 1

  2. update-alternatives --install /usr/bin/javac javac /opt/jdk1.8.0_202/bin/javac 1

  3. update-alternatives --set java /opt/jdk1.8.0_202/bin/java

  4. update-alternatives --set javac /opt/jdk1.8.0_202/bin/javac

查看结果:

复制代码

  1. update-alternatives --config java

  2. update-alternatives --config javac


二.安装cobaltstrike



依然是wget访问本地phpstudy映射到公网的IP下载

  1. wget xxx.cc/cs4.zip

  2. mkdir cs4 //创建一个文件夹

  3. mv cs4.zip cs4

  4. cd cs4

  5. unzip cs4.zip //解压密码cs4

  6. chmod a+x teamserver //貌似服务器终端上不需要提权

  7. ln -s /opt/jdk1.8.0_202/bin/keytool /usr/bin //这一步需要加软链接 很关键

  8. ./teamserver 公网IP CS密码

服务端就上线了!

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

客户端:

windows下直接双击start.bat //记得安装JAVA 要不然打不开

linux下启动客户端java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

设置监听:

映射是死活设置不出来的!!!

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

生成Payload:

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

Invoke-Obfuscation免杀

这个不得不提,因为他实在是太好用了!一直过一切杀软!!!
下面来介绍一下怎么使用:

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

管理权限运行:Set-ExecutionPolicy Unrestricted

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

  1. Import-Module./Invoke-Obfuscation.psd1

  2. Invoke-Obfuscation

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

  1. set scriptpath C:UsersAdministratorDesktop1.ps1

  2. encoding

  3. 1

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

输出文件

out shell.ps1

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

测试免杀效果

完美绕过火绒和360全家桶 就问你舒不舒服?

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

测试payload稳定性:

以学院靶场为例 稳定运行

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

Invoke-Obfuscation免杀拓展:

Invoke-Obfuscation免杀有多种编码格式 当然也有多种运行方式

输入launcher

选择ps

我们可以看到有多种运行方式

  1. [*]启动程序PS无执行标志


  2. [*]启动器PS1-NoExit


  3. [*]启动器PS2-非交互


  4. [*]启动器PS3-NoLogo


  5. [*]启动程序PS4-NoProfile


  6. [*]启动器PS5-命令


  7. [*]启动器PS6-窗口样式隐藏


  8. [*]启动器PS7-绕过执行策略


  9. [*]启动器PS8-Wow64(到路径32位父进程)

  1. 选择6,7实现隐藏和绕过执行策略执行效果很不错的呦!

  2. 更多操作等你们发现~

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]



回顾往期内容

一起来学PHP代码审计(一)入门

新时代的渗透思路!微服务下的信息搜集

反杀黑客 — 还敢连shell吗?蚁剑RCE第二回合~

防溯源防水表—APT渗透攻击红队行动保障

实战纪实 | 从编辑器漏洞到拿下域控300台权限

CS公网配置及Invoke-Obfuscation Bypass[火绒&360]


扫码白嫖视频+工具+进群+靶场等资料


CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

 


CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

 扫码白嫖


 还有免费的配套靶场交流群哦!



本文始发于微信公众号(掌控安全EDU):CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: