Cobalt Strike CheatSheet

ملاحظات ونصائح عامة حول إطار عمل Cobalt Strike C2.

المحتويات

• Cobalt Strike CheatSheet
  • المحتويات
  • شرح القائمة الأساسية
  • المستمعون
  • ملفات تعريف Malleable C2
  • سكربتات Aggressor
  • الأوامر الشائعة
  • الاستغلال
  • تصعيد الصلاحيات
  • التمركز المحوري
  • الحركة الجانبية
  • تسريب البيانات
  • متفرقات
  • ملاحظات OPSEC

شرح القائمة الأساسية

• Cobalt Strike: القائمة الأولى والأساسية، تحتوي على الوظائف اللازمة للاتصال بخادم الفريق (team server)، وضبط تفضيلاتك، وتغيير طريقة عرض جلسات beacon، وإدارة المستمعين وسكربتات aggressor.
• View: تتكون قائمة العرض من عناصر تدير الأهداف والسجلات وبيانات الاعتماد المجمّعة ولقطات الشاشة وضغطات لوحة المفاتيح وغيرها. غرضها الرئيسي هو توفير طريقة سهلة للوصول إلى مخرجات العديد من الوحدات، وإدارة غنائمك وأهدافك من النطاقات.
• Attacks: تحتوي هذه القائمة على العديد من طرق توليد هجمات جانب العميل مثل رسائل التصيّد الاحتيالي واستنساخ المواقع واستضافة الملفات. كما توفر طرقًا عديدة لتوليد حمولات beacon الخاصة بك أو مجرد توليد shellcode وحفظه لاستخدامه لاحقًا في أداة تشويش أخرى.
• Reporting: توفر طريقة سهلة لتوليد ملفات pdf أو جداول بيانات تحتوي على معلومات حول تنفيذ الهجوم، وبهذه الطريقة تساعدك على تنظيم تقارير صغيرة، مما يسهّل عملية كتابة التقرير النهائي.
• Help: قائمة المساعدة الأساسية للأداة.

المستمعون

مستمعو الخروج (Egress Listeners)

• HTTP/HTTPS: الحمولات الأساسية لـ beacon، حيث يستمع المستمعون افتراضيًا على المنفذين 80 و443 مع وجود خيار دائم لتعيين منافذ مخصصة. لديك خيارات لضبط إعدادات الوكيل (proxy)، أو تخصيص ترويسة HTTP، أو تحديد منفذ ربط لإعادة توجيه حركة beacon إذا كانت البنية التحتية تستخدم خوادم إعادة توجيه (redirector) لاستدعاءات الحمولة.
• DNS: خيار حمولة شديد التخفّي، يوفر حركة أكثر تخفيًا عبر بروتوكول dns، وتحتاج إلى تحديد خادم DNS للاتصال به. أفضل حالة لاستخدام هذا النوع من المستمعين هي في بيئة مقيدة بشدة تحجب حتى الحركة الشائعة مثل المنفذين 80 و443.

مستمعو التمركز المحوري (Pivot Listeners)

• TCP: مستمع tcp أساسي مرتبط بمنفذ محدد.
• SMB: خيار رائع للانتشار الداخلي والحركة الجانبية، تستخدم هذه الحمولة أنابيب مسماة (named pipes) عبر بروتوكول smb وهي أفضل نهج لتجاوز جدران الحماية عندما تكون حتى المنافذ الافتراضية مثل 80 و443 مدرجة في القائمة السوداء.

مستمعون متفرقون

• Foreign HTTP/HTTPS: يمنحنا هذا النوع من المستمعين خيار تمرير جلسة من إطار عمل metasploit إلى cobalt strike باستخدام حمولات http أو https. من الأمثلة المفيدة تنفيذ وحدة استغلال من metasploit والحصول على جلسة beacon على cobalt strike.
• External C2: هذا نوع خاص من المستمعين يمنح تطبيقات الطرف الثالث خيار العمل كوسيط اتصال لـ beacon.