CS公网配置及Invoke-Obfuscation Bypass[火绒&360]

前言

上一篇免杀文章写的水了，不好意思一直挂着了。
今天本来想做个PS1的免杀，但做的时候要用到cobaltstrike来生成ps1后门，刚开始的时候并不知道cobaltstrike是一个用于团队项目的工具，所以过程中出现了很多问题。
为了让大家熟悉cobaltstrike的运行流程，感觉还是很有必要写一篇有关cobaltstrike公网配置的文章。顺便讲一下一个很不错的免杀脚本

新版本的CS要配合linux服务端才能运行起来。网上讲CS4.0的文章很多，但是讲的都很不尽人意，都是私人内网使用的介绍，并没有在公网上实现完整的运行流程。
很多小白（像我似的死活不肯买服务器，映射派作风），因为映射很便宜嘛。所以思路习惯固化在映射上，什么监听配置首先都往内网映射上想。
当然，如果你告诉我你想用花生壳是来搞cobaltstrike！劝你还是早早放弃。(原因不想多解释 你们能搞出来说明你们NB)

所以我也是拿出半天的时间，进行了一下从零开始如何使用服务器的相关操作。
当然啦！作为资深白嫖党买服务器是不可能的 这辈子都不可能的~
就算抓一台linux也不舍得买 哈哈哈哈(开个小玩笑o(￣▽￣)o)

本着白嫖到底的原则，发现腾讯云可以白嫖一台linux的服务器。
大家可以自己去看一下：关注公众号后 就会送你台服务器（很香的呦~）

腾讯云利用ssh协议可以直接登录到终端，账号root 密码:在邮箱里
登陆后在终端进行CS的配置：

一.安装JAVA

访问：https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html#jdk-8u121-oth-JPR
下载X64压缩包
jdk-8u202-linux-x64.tar.gz
将压缩包放到phpstudy本地WWW文件夹中(我是开的映射phpstudy)切记不要直接wget下载地址!!!否则无法运行CS
然后服务器终端运行指令：
wget 映射的公网IP/jdk-8u202-linux-x64.tar.gz

2. 解压缩文件并移动至/opt

tar -xzvf jdk-8u271-linux-x64.tar.gz
mv jdk1.8.0_202 /opt
cd /opt/jdk1.8.0_202

3. 设置环境变量

执行 vim ~/.bashrc ， 按”i”并添加下列内容

# install JAVA JDK
export JAVA_HOME=/opt/jdk1.8.0_202
export CLASSPATH=.:${JAVA_HOME}/lib
export PATH=${JAVA_HOME}/bin:$PATH

保存退出 按ESC后再shift+: 输入wq

4. 安装并注册

执行：

update-alternatives --install /usr/bin/java java /opt/jdk1.8.0_202/bin/java 1
update-alternatives --install /usr/bin/javac javac /opt/jdk1.8.0_202/bin/javac 1
update-alternatives --set java /opt/jdk1.8.0_202/bin/java
update-alternatives --set javac /opt/jdk1.8.0_202/bin/javac

查看结果：

复制代码

update-alternatives --config java
update-alternatives --config javac

二.安装cobaltstrike

依然是wget访问本地phpstudy映射到公网的IP下载

wget xxx.cc/cs4.zip
mkdir cs4 //创建一个文件夹
mv cs4.zip cs4
cd cs4
unzip cs4.zip //解压密码cs4
chmod a+x teamserver //貌似服务器终端上不需要提权
ln -s /opt/jdk1.8.0_202/bin/keytool /usr/bin //这一步需要加软链接 很关键
./teamserver 公网IP CS密码

服务端就上线了！

客户端：

windows下直接双击start.bat //记得安装JAVA 要不然打不开

linux下启动客户端：java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

设置监听：

映射是死活设置不出来的！！！

生成Payload:

Invoke-Obfuscation免杀

这个不得不提，因为他实在是太好用了！一直过一切杀软！！！
下面来介绍一下怎么使用：

管理权限运行：Set-ExecutionPolicy Unrestricted

Import-Module ./Invoke-Obfuscation.psd1
Invoke-Obfuscation

set scriptpath C:\Users\Administrator\Desktop\1.ps1
encoding
1

输出文件

out shell.ps1

测试免杀效果

完美绕过火绒和360全家桶 就问你舒不舒服？

测试payload稳定性：

以学院靶场为例 稳定运行

Invoke-Obfuscation免杀拓展：

Invoke-Obfuscation免杀有多种编码格式 当然也有多种运行方式
输入launcher
选择ps
我们可以看到有多种运行方式

[*]启动程序\PS\0无执行标志

[*]启动器\PS\1-NoExit

[*]启动器\PS\2-非交互

[*]启动器\PS\3-NoLogo

[*]启动程序\PS\4-NoProfile

[*]启动器\PS\5-命令

[*]启动器\PS\6-窗口样式隐藏

[*]启动器\PS\7-绕过执行策略

[*]启动器\PS\8-Wow64（到路径32位父进程)

选择6,7实现隐藏和绕过执行策略执行 效果很不错的呦！
更多操作 等你们发现~