HW蓝队：Cobalt Strike快速上手与溯源反制

Cobalt Strike

概念

Cobalt Strike（简称CS）是一款专业的团队作战渗透测试工具，包含客户端和服务端两个部分，它的主要功能是在已经取得攻击目标控制权后，用于持久化、横向移动、流量隐藏以及数据窃取等操作

当在目标主机上成功执行了 CS 的 payload（有效载荷/攻击模块/攻击方式）时，它会创建一个 Beacon，即远程控制木马，通过与 C2 服务器建立连接，使攻击者能够远程控制被攻击主机并且获取所需信息

C2 是 Command & Control server 的缩写，也就是命令与控制服务器，是被攻击主机与攻击者之间通信的中心节点

攻击者可以通过 C2 服务器下发指令、接收反馈并控制被攻击主机的行为，实现渗透测试等各种目的

资产查找

"Cobalt Strike"&&port="50050"

快速使用

Cobalt Strike 分为客户端组件和服务器组件

1. 启动团队服务器

服务器组件，也就是团队服务器，是Beacon payload 的控制器，也是 Cobalt Strike 社会工程学攻击功能的托管主机，并且存储Cobalt Strike收集的数据并管理日志记录

Cobalt Strike Teamserver 必须在受支持的 Linux 系统上运行

要启动Cobalt Strike teamserver，使用以下命令运行Cobalt Strike Linux安装文件中的teamserver脚本：

./teamserver <ip_address> <password> [<malleableC2profile> <kill_date>

• IP 地址（必填）
  • 输入团队服务器的外部可访问 IP 地址
  • Cobalt Strike使用此值作为其功能的默认主机
• 密码（必填）
  • 输入团队成员将用于将 Cobalt Strike 客户端连接到团队服务器的密码
• C2扩展配置（可选）
  • 指定有效的C2扩展文件
• 终止日期（可选）
  • 以 YYYY-MM-DD 格式输入日期值
  • 团队服务器将此终止日期嵌入到它生成的每个Beacon stage中
  • Beacon payload将在此日期之后拒绝运行
  • 此日期后这个Beacon payload醒来也会自动结束(对应 Beacon会话中的 exit 选项)