Шпаргалка по Cobalt Strike

Общие заметки и советы по C2-фреймворку Cobalt Strike.

Содержание

• Шпаргалка по Cobalt Strike
  • Содержание
  • Описание базового меню
  • Слушатели (Listeners)
  • Профили Malleable C2
  • Скрипты Aggressor
  • Распространённые команды
  • Эксплуатация
  • Повышение привилегий
  • Пивoтинг
  • Боковое перемещение
  • Эксфильтрация
  • Разное
  • Заметки по OPSEC

Описание базового меню

• Cobalt Strike: Первое и самое базовое меню, содержит функциональность для подключения к team server, настройки предпочтений, изменения отображения сессий beacon, управления слушателями и скриптами aggressor.
• View: Меню View состоит из элементов, управляющих целями, журналами, собранными учётными данными, скриншотами, нажатиями клавиш и т. д. Его основное назначение — обеспечить удобный доступ к выводу множества модулей, управление добычей и доменными целями.
• Attacks: Это меню содержит множество методов генерации клиентских атак, таких как фишинговые письма, клонирование веб-сайтов и хостинг файлов. Также предоставляет множество способов генерации полезных нагрузок beacon или просто генерации shellcode и сохранения его для последующего использования в другом инструменте обфускации.
• Reporting: Обеспечивает удобный способ генерации pdf- или табличных файлов, содержащих информацию о ходе выполнения атаки, тем самым помогая организовывать небольшие отчёты и упрощая процесс написания итогового отчёта.
• Help: Базовое меню справки инструмента.

Слушатели (Listeners)

Слушатели для исходящего трафика (Egress Listeners)

• HTTP/HTTPS: Самые базовые полезные нагрузки для beacon; по умолчанию слушатели прослушивают порты 80 и 443, всегда с возможностью задать пользовательские порты. Есть возможность настроить параметры прокси, кастомизировать HTTP-заголовки или указать порт привязки для перенаправления трафика beacon, если инфраструктура использует серверы-редиректоры для обратных вызовов полезной нагрузки.
• DNS: Очень скрытный вариант полезной нагрузки, обеспечивает более скрытный трафик по протоколу DNS; необходимо указать DNS-сервер для подключения. Лучшая ситуация для использования этого типа слушателя — сильно ограниченная среда, блокирующая даже обычный трафик, такой как порты 80 и 443.

Слушатели для пивотинга (Pivot Listeners)

• TCP: Базовый TCP-слушатель, привязанный к определённому порту.
• SMB: Отличный вариант для внутреннего распространения и бокового перемещения; эта полезная нагрузка использует именованные каналы по протоколу SMB и является лучшим подходом для обхода межсетевых экранов, когда даже стандартные порты, такие как 80 и 443, внесены в чёрный список.

Прочие слушатели (Miscellaneous Listeners)

• Foreign HTTP/HTTPS: Эти типы слушателей дают нам возможность передать сессию из фреймворка Metasploit в Cobalt Strike, используя полезные нагрузки http или https. Полезный пример — выполнить модуль эксплойта из Metasploit и получить сессию beacon в Cobalt Strike.
• External C2: Это особый тип слушателя, который даёт сторонним приложениям возможность выступать в качестве среды связи для beacon.