神兵利器 - C2框架Atlas

目前仅针对 Windows 环境

https://github.com/Gr1mmie/AtlasC2#usage

用法

启动 TeamServer

生成client、teamserver、implant的exe后，直接执行Teamserver.exe即可启动teamserver

启动/管理监听器

要启动新的侦听器，请使用StartListener命令。此命令有两个参数：侦听器名称和要运行的端口

该Listeners命令列出所有侦听器，ViewListener返回指定侦听器的数据，RemoveListener并可用于从列表中删除侦听器

与主机连接

可以使用Implants命令列出连接的主机

连接到主机就像Connect <ImplantId>. 就像该Connect命令用于选择主机一样。ViewImplant可用于查看有关所选主机的更多信息。该Disconnect命令将取消选择当前选择的主机中，如下所示。

执行任务

要使用任务，必须首先使用 选择任务SetTask。可以使用查看TaskOpts和设置选项SetTaskOpt。任务正在使用SendTask

查看以前的任务

可以使用 . 查看以前运行的任务的输出TaskOut。TasksOut可用于查看与所选植入物相关的所有先前运行的任务。

Shell Execution

Atlas 允许操作员分别使用PSShell和CMDShell任务执行 PowerShell 和 Cmd 命令。PSShell打开一个新的运行空间并执行命令，因此即使powershell.exe被列入黑名单，PowerShell 命令仍然可以执行。此方法还绕过约束语言模式。CMDShell打开一个cmd.exe进程并将命令传递给进程。上面显示了执行 PowerShell 命令，因此这里也不会显示。关于 的旁注CMDShell，许多执行的常见命令包括（但不限于）whoami、ipconfig、pwd 和 cd 已被实现到植入功能中，以避免需要通过cmd.exe进程执行此类命令。

将 C# 程序集加载到内存中

加载程序集需要几个步骤，这与 CobaltStrike 之类的东西不同，它使用execute-assembly. 首先，操作员必须使用ByteConvert实用程序（ByteConvert必须告知文件是本地文件还是远程文件）将本地存储或远程文件转换为字节数组并将其存储在assemBytes变量中。完成后，该Load任务用于将组件加载到植入过程中。

查看加载的装配体

要查看加载到植入过程中的组件，操作员可以使用AssemQuery和AssemMethodQuery任务。前者返回所有加载的程序集，而后者返回与加载的程序集有关的所有公共方法

屏幕截图确认该TestAssem组件确实已加载到植入物的过程中。

AssemMethodQuery然后可用于返回有关TestAssem运算符的信息 可用于返回用于执行公共方法的信息

执行加载的程序集

Atlas 提供了从其入口点或指定的公开方法执行程序集的选项。ExecuteAssem可用于从入口点执行。此任务仅采用程序集的名称。ExecuteAssemMethod允许使用从AssemMethodQuery

原文始发于微信公众号（Khan安全攻防实验室）：神兵利器 - C2框架Atlas