CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

aj545302905   ·   发表于 2020-12-24 21:15:27   ·   核心成员专属

前言

上一篇免杀文章写的水了,不好意思一直挂着了。
今天本来想做个PS1的免杀,但做的时候要用到cobaltstrike来生成ps1后门,刚开始的时候并不知道cobaltstrike是一个用于团队项目的工具,所以过程中出现了很多问题。
为了让大家熟悉cobaltstrike的运行流程,感觉还是很有必要写一篇有关cobaltstrike公网配置的文章。顺便讲一下一个很不错的免杀脚本

新版本的CS要配合linux服务端才能运行起来。网上讲CS4.0的文章很多,但是讲的都很不尽人意,都是私人内网使用的介绍,并没有在公网上实现完整的运行流程。
很多小白(像我似的死活不肯买服务器,映射派作风),因为映射很便宜嘛。所以思路习惯固化在映射上,什么监听配置首先都往内网映射上想。
当然,如果你告诉我你想用花生壳是来搞cobaltstrike!劝你还是早早放弃。(原因不想多解释 你们能搞出来说明你们NB)

所以我也是拿出半天的时间,进行了一下从零开始如何使用服务器的相关操作。
当然啦!作为资深白嫖党买服务器是不可能的 这辈子都不可能的~
就算抓一台linux也不舍得买 哈哈哈哈(开个小玩笑o( ̄▽ ̄)o)

本着白嫖到底的原则,发现腾讯云可以白嫖一台linux的服务器。
大家可以自己去看一下:关注公众号后 就会送你台服务器(很香的呦~)

腾讯云利用ssh协议可以直接登录到终端,账号root 密码:在邮箱里
登陆后在终端进行CS的配置:

一.安装JAVA

访问:https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html#jdk-8u121-oth-JPR
下载X64压缩包
jdk-8u202-linux-x64.tar.gz
将压缩包放到phpstudy本地WWW文件夹中(我是开的映射phpstudy)切记不要直接wget下载地址!!!否则无法运行CS
然后服务器终端运行指令:
wget 映射的公网IP/jdk-8u202-linux-x64.tar.gz

2. 解压缩文件并移动至/opt

tar -xzvf jdk-8u271-linux-x64.tar.gz
mv jdk1.8.0_202 /opt
cd /opt/jdk1.8.0_202

3. 设置环境变量

执行 vim ~/.bashrc , 按”i”并添加下列内容

# install JAVA JDK
export JAVA_HOME=/opt/jdk1.8.0_202
export CLASSPATH=.:${JAVA_HOME}/lib
export PATH=${JAVA_HOME}/bin:$PATH

保存退出 按ESC后再shift+: 输入wq

4. 安装并注册

执行:

update-alternatives --install /usr/bin/java java /opt/jdk1.8.0_202/bin/java 1
update-alternatives --install /usr/bin/javac javac /opt/jdk1.8.0_202/bin/javac 1
update-alternatives --set java /opt/jdk1.8.0_202/bin/java
update-alternatives --set javac /opt/jdk1.8.0_202/bin/javac

查看结果:

复制代码

update-alternatives --config java
update-alternatives --config javac

二.安装cobaltstrike

依然是wget访问本地phpstudy映射到公网的IP下载

wget xxx.cc/cs4.zip
mkdir cs4 //创建一个文件夹
mv cs4.zip cs4
cd cs4
unzip cs4.zip //解压密码cs4
chmod a+x teamserver //貌似服务器终端上不需要提权
ln -s /opt/jdk1.8.0_202/bin/keytool /usr/bin //这一步需要加软链接 很关键
./teamserver 公网IP CS密码

服务端就上线了!

客户端:

windows下直接双击start.bat //记得安装JAVA 要不然打不开

linux下启动客户端java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

设置监听:

映射是死活设置不出来的!!!

生成Payload:

Invoke-Obfuscation免杀

这个不得不提,因为他实在是太好用了!一直过一切杀软!!!
下面来介绍一下怎么使用:

管理权限运行:Set-ExecutionPolicy Unrestricted

Import-Module ./Invoke-Obfuscation.psd1
Invoke-Obfuscation

set scriptpath C:\Users\Administrator\Desktop\1.ps1
encoding
1

输出文件

out shell.ps1

测试免杀效果

完美绕过火绒和360全家桶 就问你舒不舒服?

测试payload稳定性:

以学院靶场为例 稳定运行

Invoke-Obfuscation免杀拓展:

Invoke-Obfuscation免杀有多种编码格式 当然也有多种运行方式
输入launcher
选择ps
我们可以看到有多种运行方式

[*]启动程序\PS\0无执行标志

[*]启动器\PS\1-NoExit

[*]启动器\PS\2-非交互

[*]启动器\PS\3-NoLogo

[*]启动程序\PS\4-NoProfile

[*]启动器\PS\5-命令

[*]启动器\PS\6-窗口样式隐藏

[*]启动器\PS\7-绕过执行策略

[*]启动器\PS\8-Wow64(到路径32位父进程)
选择6,7实现隐藏和绕过执行策略执行 效果很不错的呦!
更多操作 等你们发现~

用户名金币积分时间理由
奖励系统 50.00 0 2020-12-25 19:07:54 投稿满 5 赞奖励
宫小一 10.00 0 2020-12-25 19:07:39 一个受益终生的帖子~~
veek 150.00 0 2020-12-25 11:11:33 学到了~

打赏我,让我更有动力~

3 条回复   |  直到 2020-12-28 | 2258 次浏览

aj545302905
发表于 2020-12-25

评论列表

  • 加载数据中...

编写评论内容

agito
发表于 2020-12-25

大佬666

评论列表

  • 加载数据中...

编写评论内容

xwf
发表于 2020-12-28

评论列表

  • 加载数据中...

编写评论内容
登录后才可发表内容
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.