CobaltStrike利用ExternalC2 繞過AV

2020-12-24 超級影視圈

寫在前面

此前遇到一個最新版的Windows Defender，一直想上Cs打內網方便一點，但是奈何一直繞不過去，大概試了這些方法

然後最近看文章發現倆個東西(感謝倆位開發者):https://github.com/gloxec/CrossC2https://github.com/Lz1y/GECC/

這是倆個Cs的ExternalC2,cs除了默認內置的控制方式以外還支持自定義c2的開發

第一個CrossC2是一個支持Linux系統的客戶端，不過不太完善支持shell操作第二個是一個Golang開發的windows的客戶端，理論上來說之前通過研究發現Defender攔截的是啟動時候的打頭馬，和上線之後發送的stage，如果使用自定義的c2，那麼stage的特徵就變了就可以達到繞過Defender等其他Av的目的

修改代碼

先修改一下Main.go中的代碼,把8.8.8.8改成你自己的teamserver就可以了

我這裡修改成了從參數加載，省的以後重新編譯了

然後新建一個cna腳本,埠就是上面的埠

externalc2_start("0.0.0.0",2222)安裝編譯

該程序似乎不能跨平臺編譯，所以需要一臺window環境需要安裝：Golang,MingW-w64

然後打開Mingw切換到項目目錄編譯就可以了

C:\Program Files\mingw-w64\x86_64-8.1.0-posix-seh-rt_v6-rev0\mingw-w64.batgo build -o bin/win.exe -ldflags "-H=windowsgui -s -w" main.go成功上線首次上線的時候沒有外網IP，還有掃描的時候會掉線，lasttime也不會更新，可以直接spawn一個新的listener就可以

相關焦點

  • Cobalt Strike 證書修改
    列出密鑰庫中的條目-printcert 列印證書內容-printcertreq 列印證書請求的內容-printcrl 列印 CRL 文件的內容-storepasswd 更改密鑰庫的存儲口令使用 "keytool -command_name -help" 獲取 command_name 的用法2.
  • 滲透測試神器Cobalt Strike使用教程
    圖2一、基礎使用0x00 基礎接觸圖3agscript拓展應用的腳本c2lint 用於檢查profile的錯誤異常teamserver服務端程序cobaltstrike，cobaltstrike.jar
  • 【福利】Cobalt Strike 4.0 官方教程筆記來了!
    訪問Cobalt Strike官網https://www.cobaltstrike.com/可以申請到21天測試版的序列號。Why Cobalt Strike相較於Metasploit，Cobalt Strike更適合於域滲透，並具有諸多優點。
  • 通過命名管道分析實現Cobalt Strike默認模塊的檢測
    由於此前已經有大量的研究人員對Cobalt Strike默認配置的籤名進行過研究，因此我們在這裡就不再重複這方面，而是重點關注一些Cobalt Strike的後漏洞利用功能的內置模塊，例如鍵盤記錄器、Mimikatz和屏幕截圖模塊。
  • 惡意軟體分析:藉助軍事相關誘餌文檔傳播Cobalt Strike
    二、攻擊活動概述 2.1 特點 在Cisco Talos此次發現的新型惡意活動中，攻擊者利用了定製化的Cobalt Strike進行分階段的多層攻擊，最終感染目標終端。
  • BV號轉AV號(bv2av)下載_BV號轉AV號(bv2av)官方下載-太平洋下載中心
    BV號轉AV號(bv2av) 字典翻譯 大小: 3KB
  • php中函數禁用繞過的原理與利用
    本文涉及相關實驗：繞過函數過濾https://www.hetianlab.com/expc.do?ec=ECID172.19.104.182014092310094200001&pk_campaign=baijia-wemedia（通過本實驗學會通過寬字節方式繞過mysql_real_escape_string()、addslashes()這兩個函數。）
  • 追蹤活動中相遇CobaltStrike的故事
    所以該處主要是判斷當前系統的架構，當是64位的時候利用start-job開啟一個後臺任務，如下。 該地址被用於下載憑證竊取工具mimikatz，編譯時間為2019-07-21 04:57:54，利用的是官方編譯的工具，地址為http://123.206.112.24/readepasswd/mimikatz_trunk/x64/mimikatz.exe。採用mimikatz的情況下，可以判定攻擊者準備或者已經在對主機層面進行攻擊。
  • 《Godstrike》基本玩法介紹
    從《Godstrike》的宣傳視頻中，我們可以看到這一遊戲的戰鬥主要是圍繞著boss展開的，是一款彈幕遊戲，但對於遊戲的boss戰到底是一個什麼樣的形式還沒有一個明確的概念，來看看這篇《Godstrike》基本玩法介紹吧。
  • B站的av號是什麼在哪裡看?B站av號怎麼查看方法介紹
    很多朋友都喜歡逛b站，那麼b站的av號是什麼？b站的av號在哪看？針對這些問題，下面小編就來一一為大家介紹一下吧！　　b站的av號是什麼　　B站上的視頻很多是從NICONICO網站搬運來的，而在NICO的網址上每個視頻的編號都是smXXXXX這種形式的 ，所以只要是介紹裡有寫SM號的便是轉載NICO的，這也是尊重原作者或原UP主的舉動 ，av＝acg video 也就是動畫、漫畫、遊戲視頻的意思。
  • 《Godstrike》劇情背景介紹
    在《Godstrike》這款遊戲中，玩家將挑戰一個又一個的boss，當然與boss們的戰鬥可不是隨隨便便就發生的，其中自然有著背景劇情，官方為大家帶來了劇情背景介紹，感興趣的小夥伴就來看看吧。《Godstrike》劇情背景介紹：在《Godstrike》中，神有七個印記，而你是最後一個印記塔拉爾的化身。塔拉爾在千鈞一髮之際找到了自己的持有者，以對抗想要獵殺自己並吸收印記裡力量的同胞。
  • 《Godstrike》遊戲特色介紹
    在《Godstrike》這款boss rush遊戲中，玩家將見到精美的畫面，密集的彈幕，以及形態各異的boss，對於該遊戲的具體特色玩點還有許多小夥伴不是很清楚，那麼就來看看這篇《Godstrike》遊戲特色介紹吧。
  • 逆向分析Cobalt Strike安裝後門
    搭建測試環境 測試環境： 1.服務端 kali 用於Cobalt Strike服務端 2.攻擊機 win7 用於Cobalt Strike客戶端 3.測試機 win7 測試安裝Cobalt Strike的後門程序
  • ApacheShiro身份驗證繞過高危漏洞的預警通報
    近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。
  • av功放選擇介紹【圖解】
    av功放指在 家庭影院 中，由於地方空闊，而且欣賞人數眾多，需要照顧到每個人的觀影感受，因此專 門 設計的一種家庭影院放大器。他支持多種聲道輸出，能夠模擬各種環境下的聲音，給人一種身臨其境的感受，是一種相對適用的系統。但是它的價格也同樣不菲，那麼我們該怎麼選擇一臺av功放呢，下面就跟隨小編來看一看吧。
  • strike用法,過去分詞struck和stricken區別
    今天我們來學習strike的用法。請熟讀下面生活中常見情景例句到會說。The threatened strike has been called off.威脅說要進行的罷工已被取消。Strike while the iron is hot.趁熱打鐵。
  • strike除了罷工還能表達什麼意思?口語中相當實用,一定要掌握!
    英語思維之細品單詞系列今天我們要細品的單詞是「strike」下面我們來看一下「strike」的詞典解釋：strike [strak]The union has voted to strike for a pay increase of 6%.工會投票決定罷工，要求加薪6%。2. The ship struck a rock.船觸礁了。3.
  • 哈登5實物曝光,boost+lightstrike,配色花哨
    其他的羅斯11，米切爾2代我都試過，米切爾二代還專門出過視頻，相信大家也已經看到了但是唯獨阿迪頭牌哈登的籤名球鞋之前一直未有消息。頭牌嘛，籤名球鞋自然要晚一些，其實話又說回來，阿迪的頭牌可能也就是薪金待遇上的差別，球鞋本身上的差別還真不一定有區別。
  • 「Strike while the iron is hot趁熱打鐵」,你懂得抓住時機嗎?
    例如When you find an opportunity，you should strike while the iron is hot.當機會上門，你就應該趁熱打鐵。這個說法可追溯至16世紀，當時鐵匠這個行業非常普遍，而且是冶火鑄鐵。鐵匠總是趁火燒得正旺時打鐵，因為鐵的溫度低時無法塑形。
  • BlindSide攻擊使用推測執行繞過ASLR
    研究人員發現了一種新的BlindSide攻擊技術可以濫用CPU 內部性能增強特徵來繞過作業系統安全保護。近日斯蒂文斯理工學院、蘇黎世理工學院和阿姆斯特丹自由大學的研究人員發現了一種名為 BlindSide 的攻擊技術，利用該技術可以構造繞過主流作業系統ASLR (Address Space Layout Randomization，地址空間配置隨機化)的漏洞利用。