7. Cobalt Strike之MSF’s shell get & Clone Site

Cobalt Strike&Metaspolit联动

  我们之前讲了使用Foreign Listeners可以将Cobalt Strike获得到的shell交给Metaspolit进行控制。CS毕竟从漏洞的库以及从渗透的手段上来讲还是比MSF这位老父亲年轻了很多，但是年轻又年轻的好处，它给人的感觉就是非常的清晰、简单、友好，也有一些MSF没有的功能就比如站点克隆。那么今天我们要讲的就是通过Metaspolit渗透主机，get到shell之后，再如何将这个shell交给这个年轻的儿子CS。

CS&MSF联动实战

• 网络环境：
  • kali Metaspolit 192.168.222.129
  • Cobalt Strike 192.168.222.134
  • Win7 192.168.222.143
• 我这里使用了MS17-010来渗透目标主机，模块设置如下：这里我们利用Flash的漏洞进行payload的传输。
  • 将DisablePayloadHandler设置为True。此选项会让MSF避免在MSF内起一个 handler来服务你的payload连接，因为是由CS服务器进行连接的。
  • 将PrependMigrate设置为True。此选项 MSF前置shellcode在另一个进程中运行payloadstager。如果被利用的应用程序崩溃或被用户关闭，Beacon会话仍然存活。

• 接着我们需要在Cobalt Strike服务器上新建监听器：

• 测试：shell接收

Cobalt Strike’s Clone Site

Clone Site介绍

  在向目标发送漏洞利用程序之前，进行伪装会有所帮助。Cobalt Strike 的网站克隆工具可以帮助此目标。网站克隆工具制作一个网站的本地的复制，使用一些增加的代码来修复连接和图像这样它们可以如预期一样工作。

• 我们可以将一个攻击嵌入到一个克隆的站点：

• 主机地址这个项可以是一个IP地址同样也可以是一个域名，不过这里建议使用和克隆网址比较相近的域名，如果有这个条件的话。

• Attack选项可以选择在本地的web站点产生的具有攻击性的URL，同样你也可以直接输入攻击性的URL。

• 勾选”在克隆站点上进行键盘记录”，这个选项通常用于钓取用户的账号密码，用户输入的内容会在web

Clone Site实战效果展示

  配置如上图所示：值得注意是对于这种视频网站，想要克隆的相似度高是很难的，所以最好挑选一种搜索网站，例如baidu和谷歌这些的。