LSTAR - CobaltStrike 종합 사후 침투 플러그인
상주에서 도메인 컨트롤러까지의 플러그인, 내부 네트워크 로밍 구현
CS 우클릭을 단순화하고 통합을 용이하게 하기 위해, 많은 후침투 플러그인을 참고함
호스트 관련 자격 증명 획득, 다단계 내부 네트워크 침투, 은닉 예약 작업, 우회 Mimikatz 및 사용자 복제/추가 등의 기능을 재구성 및 강화함
기능 특징:
주요 기능 모듈:
각 모듈은 실행 전에 녹색 구분선을 추가하여 응답 정보 위치를 쉽게 파악하고 협업 효율성을 높임
CobaltStrike 호스트 상주 WeChat 알림 플러그인:
- 무료로 WeChat 템플릿 메시지 푸시를 지원하는 기능을 사용하려면: https://github.com/lintstar/CS-PushPlus
- ServerChan의 기업 WeChat 푸시 채널을 구독했다면: https://github.com/lintstar/CS-ServerChan
본 프로젝트는 보안 연구 및 합법적인 기업 보안 구축 활동에만 사용됩니다. 모든 결과 및 책임은 사용자 본인에게 있습니다.
자주 사용하는 명령을 시나리오별로 분류
Ladon 공개 최신 9.1.1 버전 통합
백신 정보 로컬 에코, Beacon 상태 표시줄에 표시
구현 원리: https://blog.csdn.net/weixin_42282189/article/details/121090055
Ladon의 다중 프로토콜 생존 탐지 추가 (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)
방화벽 뒤의 내부 네트워크 자산을 어느 정도 탐지 가능: MAC 우회 방화벽을 통한 생존 호스트 탐지
생존 IP 탐지
whoami만 실행되는 버그 수정, 매개변수를 통해 System 권한 상주 가능
Ladon의 Badpotato 추가
참고: 테스트 결과 위 두 권한 상승 동작이 디지털 백신에 의해 차단 및 탐지됨
【주의해서 사용】 Windows API를 이용하여 은닉 예약 작업을 도구화하여 생성하고, 보안 소프트웨어의 차단을 우회하여 지속적인 제어 달성.
프로젝트 주소: https://github.com/0x727/SchTask_0x727
【주의해서 사용】 우회 원격 메모리 로딩 복제, 은닉 Shadow User
프로젝트 주소: https://github.com/An0nySec/ShadowUser
PE 파일 경로 문제 수정, API 방식으로 추가된 사용자 정상 삭제 가능
기능을 시나리오별로 분류
최신 버전 Sunflower 식별 코드 및 인증 코드 획득
최신 Sunflower의 base_encry_pwd 매개변수가 config.ini에서 레지스트리로 변경됨
2차 메뉴 단순화
Bypass AV: DirectoryService 네임스페이스를 이용하여 사용자를 관리자 및 원격 데스크톱 그룹에 추가
프로젝트 주소: https://github.com/An0nySec/UserAdd
명령줄에서 사용자 추가 및 복제 작업을 수행하는 보안 탐지 도구
프로젝트 주소: https://github.com/0x727/CloneX_0x727
Ladon을 사용하여 호스트 기본 정보, 네트워크 정보, 사용자 정보, 프로세스 정보, 도메인 내 여부 등을 일괄 수집
RDP 내부 및 외부 연결 기록을 수집하여 운영 관리자 위치 파악 및 횡적 이동에 용이
이전 버전의 무차별 대입을 대체하는 Cube 추가, 내부 네트워크 정보 수집 및 MSSQL 명령 실행 지원, 자세한 사용법은 실행 설명 참고
Allin을 추가하여 유연한 스캔 보조, 예: 원격으로 네트워크 카드 IP 획득:
또는 EXE를 피하고 싶을 때 Assembly 방식을 사용하여 OXID를 빠르게 탐지
agent 업로드 후 실행
admin 측에서 연결을 수신하면 Socks5 터널 구축
agent 삭제
LsassDump 실행 방식 수정: LsassDump 삭제 시 함께 덤프된 C:\Windows\Temp\1.dmp도 삭제
LsassDump(WinAPI) 기능과 연동하여 대상 머신에 덤프된 C:\Windows\Temp\1.tmp를 원격으로 읽음 (.net 4.5)
Powershell을 사용하여 RDP 관련 정보를 켜고 끄고 조회하는 방법 추가
PS 스크립트는 Reference의 BlackDevil 플러그인 RDP 모듈에서 가져옴
ZeroLogon 취약점의 BOF 구현 추가
대상 머신 아키텍처에 따라 해당 EXE 파일 업로드
매개변수 힌트 출력 추가, 특정 모듈만 실행하도록 지정 가능
Crack 내부 네트워크 무차별 대입 도구 추가
대상 머신 아키텍처에 따라 해당 EXE 파일 업로드
V1.2 버전에서 네트워크 문제로 LaZagne가 실행이 끝나기 전에 프로세스가 종료되고 파일이 삭제되는 버그 수정, 수동 실행 방식으로 변경
WindowsAPI를 사용한 메모리 덤프 LsassDump 추가, x86 및 x64 머신 지원
덤프 성공 시 생성된 1.dmp는 C:\Windows\Temp\ 디렉터리에 저장
로컬에서 직접 읽기:
RDP 관련 기능 추가:
WindowsAPI를 사용한 RDP 서비스 활성화
CheckVM 추가: 대상이 가상 머신인지 탐지
이전 스크립트가 일정 확률로 실패:
새로운 백신 탐지 방식 업데이트
이전 권한 상승 모듈의 버그 수정
EasyPersistent: https://github.com/yanghaoi/CobaltStrike_CNA
Windows 시스템에서 권한 유지를 위한 Cobalt Strike CNA 스크립트 추가
Reflection DLL 모듈을 사용하여 API를 통해 시스템 서비스, 예약 작업 등 일반적인 권한 유지 방법을 시각적으로 조작. 매 우 좋 습 니 다. (작성자 원문)
설명 문서: https://github.com/yanghaoi/CobaltStrike_CNA/blob/main/EasyCNA/README.md
실전 테스트에서 유용한 호스트 비밀번호 검색 도구 (업로드 후 실행 시 exe 파일 자동 삭제)
Windows10 및 Windows7에 대한 피싱 비밀번호 도용 최적화
위조 페이지의 효과가 애매하기 때문에, 물러설 곳이 없을 때만 사용하는 것을 권장:
Netview 및 Powerview 기능 추가
Wmic를 통한 프로세스 조회
각종 내부 네트워크 대보건 포함
사용자 정의 명령 실행
fscan 기본 업로드 경로 C:\\Windows\\Temp\\
콘솔 반환
fscan 및 결과 텍스트 삭제
유용한 내부 네트워크 침투 도구, 모두 설정 파일 로컬 저장 없음, 추적 위험 감소
Taowu를 기반으로 Silver Ticket 및 Golden Ticket 추가
135 포트 기반 sharpwmi 등 횡적 이동 도구 포함
Jiushi의 흔적 정리 결합, 보완 필요
cxk 한정 우회 버전 adduser 및 mimikatz
사이트 공략 중 즐거움을 위한 것
