obsidian/安全渗透/Cobalt Strike工具.md

---

notion-id: fe494b6f-cc13-489e-bbeb-5e610dae52

注意要点：创建team服务器的时候注意防火墙配置【监听端口】 参考资料： https://wiki.wgpsec.org/knowledge/intranet/Cobalt-Strike.html 工具和环境

• Cobalt Strike
• Kali
• Metasploit Framework
• PowerSploit
• PowerTools
• Veil Evasion Framework

客户端与服务端的连接 Cobalt Strike使用C/S架构，Cobalt Strike的客户端连接到团队服务器，团队服务器连接到目标，也就是说Cobalt Strike的客户端不与目标服务器进行交互。 准备工作 Cobalt Strike的客户端想连接到团队服务器需要知道三个信息：

• 团队服务器的外部IP地址
• 团队服务器的连接密码
• （此项可选）决定Malleable C2工具的哪一个用户配置文件被用于团队服务器

知道这些信息后，就可以使用脚本开启团队服务器了，值得注意的是Cobalt Strike团队服务器只能运行在Linux环境下。 开启团队服务器 开启团队服务器命令一般如下所示：

./teamserver your_ip your_passowrd [config_file]

服务端开启后，就可以开启客户端进行连接了 连接到团队服务器 在Linux下，直接运行start.sh脚本文件，输入团队服务器的IP、密码和自己的用户名进行连接 点击Connect连接后，会有个提示信息，如果承认提示信息中的哈希值就是所要连接团队服务器的哈希值就点击Yes，随后即可打开CS客户端界面 在Windows下的连接方法也基本一致，直接双击start.bat文件，输入IP、密码、用户名，点击Connect即可 在连接后，团队之间就可以通过客户端进行沟通，信息共享 Cobalt Strike不是用来设计指导在一个团队服务器下进行工作的，而是被设计成在一次行动中使用多个团队服务器。这样设计的目的主要在于运行安全，如果一个团队服务器停止运行了，也不会导致整个行动的失败，所以接下来看看如何连接到多个团队服务器。 连接到多个团队服务器 Cobalt Strike连接到多个团队服务器也很简单，直接点击左上角的加号，输入其他团队服务器的信息后，即可连接 最基本的团队服务模型 这里介绍最基本的团队服务模型，具体由三个服务器构成，具体如下所示：

• 临时服务器（Staging Servers） 临时服务器介于持久服务器和后渗透服务器之间，它的作用主要是方便在短时间内对目标系统进行访问。 它也是最开始用于传递payload、获取初始权限的服务器，它承担初始的权限提升和下载持久性程序的功能，因此这个服务器有较高暴露风险。
• 持久服务器（Long Haul Servers） 持久服务器的作用是保持对目标网络的长期访问，所以持久服务器会以较低的频率与目标保持通信。
• 后渗透服务器（Post-Exploitation Servers） 主要进行后渗透及横向移动的相关任务，比如对目标进行交互式访问