从零构建Cobalt Strike远控：exe木马生成、上线与提权实战

最新推荐文章于 2026-07-25 09:31:02 发布

原创

最新推荐文章于 2026-07-25 09:31:02 发布 · 407 阅读

1. 环境准备：搭建你的“作战指挥中心”

想玩转Cobalt Strike，第一步不是急着生成木马，而是要把“大本营”给搭稳了。你可以把它想象成准备一场网络攻防演练，你需要一个隐蔽的“指挥所”（服务端），一个功能强大的“操作台”（客户端），以及一个能让你自由进出的“后门”（监听器）。我刚开始接触的时候，也犯过不少低级错误，比如Java版本不对，或者IP地址没配好，导致整个环境跑不起来，白白折腾半天。

首先，你得搞定Java环境。Cobalt Strike这玩意儿，无论是服务端（teamserver）还是客户端，都是跑在Java虚拟机上的。我强烈建议你直接去Oracle官网下载Java 8（JDK 1.8），这是最稳定、兼容性最好的版本。别用太新的，我试过用Java 11或者17，时不时会冒出一些奇怪的类加载错误，对于新手来说排查起来很头疼。在Windows上安装就是一路下一步，记得最后在命令行里输入 java -version 确认一下。在Kali Linux上就更简单了，直接用apt命令安装：sudo apt update && sudo apt install openjdk-8-jdk -y。装好后同样用 java -version 检查，确保输出里能看到“1.8”的字样。

接下来是获取Cobalt Strike本体。出于法律和道德的考量，我这里不能提供任何具体的下载链接。你需要明白，Cobalt Strike是一个商业的渗透测试框架，正版需要购买授权。安全研究人员和渗透测试工程师通常会在授权的测试环境中使用其试用版或已购买的版本。请务必仅在你自己完全可控的实验室环境（例如虚拟机内网）中进行所有操作，任何未经授权的测试都是非法且不道德的。

假设你已经有了合法的CS安装包，它通常是一个ZIP压缩文件，解压后你会看到几个关键文件：teamserver（Linux服务端启动脚本）、cobaltstrike.jar（客户端JAR包）、cobaltstrike（Windows/Linux客户端启动脚本）以及一堆aggressor脚本目录。我们的部署思路一般是：将服务端部署在一台具有公网IP（用于真实演练）或内网IP（用于本地测试）的Linux服务器上，比如Ubuntu或Kali；客户端则可以在任何能连接到服务端的机器上运行，比如你本地的Windows电脑。

服务端部署（以Kali为例）：

将CS文件上传到你的Kali虚拟机里，比如放在 /opt/cobaltstrike 目录。
打开终端，进入该目录：cd /opt/cobaltstrike。
给启动脚本加执行权限：chmod +x teamserver。
启动服务端，这是最关键的一步命令：
```
./teamserver <你的服务器IP> <连接密码> [/path/to/profiles]
```
举个例子，如果你的Kali内网IP是 192.168.1.105，想设置连接密码为 MySecretPassword123!，那么命令就是：
```
./teamserver 192.168.1.105 MySecretPassword123!
```
回车之后，你会看到服务端开始初始化，加载各种Malleable C2配置文件（如果指定了的话），最后输出一行类似 [+] Team server is up on 50050 的信息。这表示你的“指挥所”已经在 192.168.1.105 的 50050 端口上建好了，正等着客户端来连接。这里有个坑我踩过： 如果Kali开启了防火墙，记得放行50050端口：sudo ufw allow 50050/tcp，或者直接暂时关闭防火墙（仅测试环境）。