专栏首页FreeBufCobalt Strike之DNS Beacon使用记录

Cobalt Strike之DNS Beacon使用记录

*原创作者:补丁君,本文属FreeBuf原创奖励计划,未经许可禁止转载

笔者使用环境

本机

Debian Linux

服务器

VPS(Debian Linux)

目标

Windows 2003(虚拟机)

Cobalt Strike

v3.6(开心版)

Cobalt Strike开启团队服务器模式需要Java环境,本机使用也需要,推荐安装Oracle java8


先上传Cobalt Strike压缩包到服务器上,解压

如图所示,输入命令

root@AliYun:~/cobaltstrike# nohup ./teamserver 你的服务器ip 你要设置的密码&

这样就可以开启Cobalt Strike的团队服务模式了,并且可以后台挂载在那里

然后,本机打开Cobalt Strike,输入服务器IP、端口、密码,用户名任意设置

顺利的就连上了服务器,现在开始正题

拿出我们准备好的域名,修改NS记录绑定到DNSPod上

先添加一个域名A记录,指向我们的服务器IP

想用Cobalt Strike的DNS Beacon话,我们还需要添加两个域名的NS记录

注意:记录值要填写刚刚设置A记录的二级域名fuck.xxx.com,最后设置好如图所示

下面开始配置Cobalt Strike,生成后门

添加一个listener,选择第一个beacon_dns就是走DNS隧道协议,隐蔽性极强,不开任何端口。(缺点:响应速度慢)

配置好监听后,就开始生成后门吧

目标是32位的就默认就好,64位的就勾选下选项即可

生成好木马,就利用一些猥琐的手段放进目标机运行咯(笔者这里就直接复制进去双击了~~)

注意还未运行前端口开放状态

运行木马后,Cobalt Strike已经呈现出一个主机会话了

可以发现,会话延迟很高!主机的一些信息都还没反应过来!此时我们再来看看主机端口开放情况

与运行前并无什么差别的~

现在也有很多后门传输开始走DNS隧道了,比以往走HTTP、TCP等更难察觉,传送门http://www.freebuf.com/sectool/110815.html

笔者对此方式的理解如下:(错误之处,请提出一起交流学习~)

木马向DNS服务器ns1.xxx.xxx发起通信——>DNS服务器ns1.xxx.xxx指向域名fuck.xxx.xxx——>域名fuck.xxx.xxx指向VPS的ip——>木马与VPS建立DNS隧道连接 VPS上的teamserver向本机Cobalt Strike返回主机会话

后面怎么利用就是beacon>help 查看命令自己造吧~~

那么,我们试试不走DNS隧道呢?

再添加个监听,走http通道

重新生成个后门,运行后,返回了主机会话(速度很快)

此时,我们查看下目标主机端口开放情况

这就是走HTTP传输了,端口开放可以被探测到,但这种模式传输数据相对要快很多了

后面深入应用就不在此文表述了,仅为抛砖引玉~

参考:

https://blog.cobaltstrike.com/2013/06/06/dns-command-and-control-added-to-cobalt-strike/

https://www.cobaltstrike.com/help-dns-beacon

*原创作者:补丁君,本文属FreeBuf原创奖励计划,未经许可禁止转载

本文分享自微信公众号 - FreeBuf(freebuf),作者:补丁君

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2017-02-21

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • DNS Tunneling及相关实现

    *本文原创作者:novsec,本文属FreeBuf原创奖励计划,未经许可禁止转载 ? DNS Tunneling,是隐蔽信道的一种,通过将其他协议封装在DNS协...

    FB客服
  • 关于PLC安全的一次实验

    (1)随着工业 4.0 的高速发展,工业自动化程度越来越高,但工控设备暴露在公网的情况也越发明显。而其中尤其以PLC最为明显,这些PLC设备的来源多为国外厂商,...

    FB客服
  • 使用Adidnsdump转储Active Directory DNS

    DNS域传送漏洞是在黑客常用的一种漏洞攻击手段。要实现域传送漏洞,就需要一个不安全配置的DNS服务器,允许匿名用户传输所有记录并收集有关网络中主机的信息。然后网...

    FB客服
  • 计算机网络层次和TCP/IP协议族常用协议名称以及端口

    下面是计算机四层模型和OSI七层模型的对应关系以及常用协议的端口号和名称,如下图所示:

    ccf19881030
  • 谷歌对WebM 技术的支持

    谷歌对WebM 技术的支持 HTML5学堂:视音频一直以来都很有争议,以前在手机上播放是用flash,但是发现特别卡,所以在苹果4手机问世,放弃了flash,改...

    HTML5学堂
  • Python3 pickle对象串行化代码实例解析

    pickle模块实现了一个算法可以将任意的Python对象转换为一系列字节。这个过程也被称为串行化对象。可以传输或存储表示对象的字节流,然后再重新构造来创建有相...

    砸漏
  • SSH转连接Redhat通过scp下载文件

    测试服务器是一台内网服务器,不过在内网中有一台是外网的WEB服务器,在远程进行项目备份和部署的时候我需要通过WEB服务器转连接到测试服务器上,然后下载文件。下面...

    the5fire
  • python:状态模式

    python允许在运行时打“热补丁”,也就是替换掉类的函数。这让状态模式的实现变的简单。 下面是一个权限验证的鬼畜例子,由于类对象的内部发生了状态变化,所以你...

    超级大猪
  • [Java 基础]控制语句

    选择语句 if语句 if语句会判断括号中的条件是否成立,如果成立则执行if语句中的代码块,否则跳过代码块继续执行。 语法 if(布尔表达式) { //如果布尔...

    静默虚空
  • 本博客已经停用了所有的缓存插件和服务器组件

    最近很多人都在问明月的博客上用的是啥缓存插件以及服务器端采用的是什么缓存组件等等的,今天明月在此再次重申一下目前我的博客 WordPress 程序没有使用任何缓...

    明月云服务

扫码关注云+社区

领取腾讯云代金券