CobaltStrike checklist

一、安装

Cobalt Strike 4.9.1 Cracked 破解版下载 - 🔰雨苁ℒ🔰

听说有些知识星球版本的Cobalt Strike4.9.1在cmd中植入后门，因此一定要在虚拟机中使用

安装nginx

yum update -y
yum install -y epel-release
yum install -y nginx
systemctl start nginx
systemctl enable nginx #开机自启动

客户端安装

客户端安装java环境后直接点击cmd结尾的文件

Cobalt Strike 安装与配置 - XSTARK 公司

JDK安装教程，Win11环境_win11如何看本机jdk-CSDN博客

服务端安装

yum install java-11-openjdk-devel
java -version
update-java-alternatives -s
java-1.11.0-openjdk-amd64
#安装wget和unrar：
yum install wget
wget https://www.rarlab.com/rar/rarlinux-x64-6.0.2.tar.gz
tar xf rarlinux-x64-6.0.2.tar.gz -C /usr/local/
ln -s /usr/local/rar/rar /usr/local/bin/rar
ln -s /usr/local/rar/unrar
/usr/local/bin/unrar
unrar -v
#把cs压缩包传上去
unrar x -pwww.ddosi.org
CobaltSrike_4.9.1.rar
mv CobaltSrike_4.9.1_Cracked_www.ddosi.org CS
cd CS/Server
chmod +x teamserver
chmod +x TeamServerImage

二、隐藏特征

在启动前必须隐藏特征并修改端口，否则长时间启动后会被威胁情报标记，然后listener会连接大量虚假sessions

修改端口号

vi teamserver

修改最底下的50050为指定端口（比如12345）和密码

./TeamServerImage -Dcobaltstrike.server_port=12345 -Dcobaltstrike.server_bindto=0.0.0.0 -Djavax.net.ssl.keyStore=./cobaltstrike.store -Djavax.net.ssl.keyStorePassword=test123456 teamserver $*

密码是cobaltstrike.store解密密码，如果没有该文件，teamserver启动时会生成一个，默认密码0123456

教你修改cobalt strike的50050端口 - 3HACK

更换CS证书

不要使用默认的cobaltstrike.store，删除原本的cobaltstrike.store文件

keytool -keystore cobaltstrike.store -storepass test123456 -keypass test123456 -genkey -keyalg RSA -alias blackcat -dname "CN=Chen,OU=MOPR,O=Microsoft Corporation, L=Redmond, ST=Washington, C=US"

keytool -importkeystore -srckeystore cobaltstrike.store -destkeystore cobaltstrike.store -deststoretype pkcs12

keytool -list -v -keystore cobaltstrike.store -storepass test123456

域前置

购买域名并更改ns为cloudflare后，设置cloudflare ssl为完全（严格），添加A记录，然后源站点生成证书，创建服务器证书server.pem和私钥server.key

cloudflare还要配置”缓存规则“，这里设置的是对”所有传入请求“”绕过缓存“。

以下假设我购买的C2域名为：example.com

openssl pkcs12 -export -in server.pem -inkey server.key -out example.p12 -name example.com -passout pass:test123456

keytool -importkeystore -deststorepass test123456 -destkeypass test123456 -destkeystore example.store -srckeystore example.p12 -srcstoretype PKCS12 -srcstorepass test123456 -alias example.com

上述命令导入密钥到了example.store

确保c2.profile中包含：

https-certificate {
    set keystore "example.store";
    set password "test123456";
}

CobaltStrike特征修改-安全客 - 安全资讯平台

https://xz.aliyun.com/t/9616

c2隐藏&流量加密 - 小新07 - 博客园

Cobalt Strike去特征：配置Nginx反向代理、CDN与Cloudflare Worker - MYZXCG

配置完cdn后，会发现机器能上线，但是执行命令无回显。这个问题困扰了好半天，一直以为是cloudlflare缓存配置问题，然而禁用缓存后问题依旧存在。最后逐步定位到是cs配置文件的问题。

这里用的是jquery-c2.4.0.profile配置文件。它设置header "Content-Type" "application/javascript; charset=utf-8";为响应头。修改所有响应头为：header "Content-Type" "application/*; charset=utf-8";即可正常执行命令回显。

这里的mime-type如果为application/javascript、text/html等，机器执行命令就无法回显。猜测是cdn会检测响应头content-type的值，如果是一些静态文件的mime-type可能就导致这个问题。

Cobalt Strike特征隐藏与流量分析 - ol4three

nginx

网上有些域前置攻略没有配置nginx转发请求，我经过测试发现这样往往无法回连

先将pem和key复制到另一个目录

/etc/nginx/nginx.conf包含以下内容

    server {
        listen       80;
        listen       [::]:80;
        server_name  example.com;
        return 301 https://$host$request_uri;
    }
    server {
        listen       443 ssl http2;
        listen       [::]:443 ssl http2;
        server_name  _;
        root         /usr/share/nginx/html;

        ssl_certificate "/opt/zs/server.pem";
        ssl_certificate_key "/opt/zs/server.key";

        location / {
            proxy_pass          https://127.0.0.1:8777;
        }
    }

这里proxy_pass转发的端口就是我们设置监听器的bindto端口（C2端口为443）

配置防火墙，防止被监听端口被nmap扫描

注意iptables需要先删除规则：

5 REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

iptables -A INPUT -s 127.0.0.1 -p tcp --dport 8777 -j ACCEPT
iptables -A INPUT -p tcp --dport 8777 -j DROP

nginx设置指定useragent：

location / {
        if ($http_user_agent != "Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) like Gecko") {
        return 302 $REDIRECT_DOMAIN$request_uri;
        }
        proxy_pass          https://127.0.0.1:8777;
}