CVE-2020-0787

CVE-2020-0787（命名管道） 这只是一个演示，请勿在实际环境中使用。 -获取命令执行结果（使用 cmd /c）： exp.exe "cmd /c whoami \\.\pipe\showme " show -运行 beacon.exe： exp.exe "C:/beacon.exe" 用于 CobaltStrike 比当前项目更好的一个： https://github.com/yanghaoi/ReflectiveDllSource/tree/master/CVE-2020-0787CNA 参考...

ScreenshotBOF

ScreenshotBOF 一种替代的Cobalt Strike截图功能，使用WinAPI且不执行fork & run。截图在内存中下载。 特性 JPEG压缩 内存下载，支持作为截图或作为文件 支持捕获最小化的窗口 灰度、JPEG质量和缩小尺寸以减少文件大小 自行编译 1. git clone 仓库 2. 运行 make 保存方式: 0. 将文件写入磁盘 1. 通过beacon下载文件（仅限Cobalt Strike） 2. 通过beacon作为截图下载文件（仅限Cobalt Strike） PID 0: 捕获全屏（PID = 0） 特定PID: 捕获特定PID（即使在最小化时也能工作！...

pyMalleableC2

pyMalleableC2 一个用于 Cobalt Strike Malleable C2 配置文件的 Python 解释器，允许你以编程方式解析、修改、构建这些配置文件，并进行语法验证。 支持从 Cobalt Strike 4.3 版本开始的所有 Malleable C2 配置文件语法。 该工具不向后兼容早期的 Cobalt Strike 版本。 pyMalleableC2 与其他同类项目有何不同？ 1. 使用 Lark 解析配置文件，采用 eBNF 表示法。这种方法比用户自定义的正则表达式、模板引擎或类似方法要稳健得多。 2. 将配置文件转换为抽象语法树 AST，随后可以从 AST...

LDAPFragger

LDAPFragger LDAPFragger 是一款命令与控制工具，使攻击者能够通过 LDAP 用户属性路由 Cobalt Strike 的 Beacon 数据。 有关背景信息，请阅读发布博文：http://blog.fox-it.com/2020/03/19/ldapfragger-command-and-control-over-ldap-attributes 依赖与安装 使用 .NET 4.0 编译，但可能也适用于更早或更新的 .NET 框架版本 使用方法 | | | | / | | | | | | | | |/ |/ | ' | | '/ |/ |/ |/ \ '| | | |...

cs2modrewrite

Genera Automáticamente Reglas para Apache modrewrite o Nginx para Redirección Inteligente de C2 por HTTP Este proyecto convierte un perfil de Cobalt Strike en un archivo funcional de modrewrite .htaccess o de configuración de Nginx para soportar la redirección por proxy inverso HTTP hacia el...

SourcePoint

SourcePoint SourcePoint 是一个用 Go 编写的 Cobalt Strike C2 多态 C2 配置文件生成器。SourcePoint 允许即时生成独特的 C2 配置文件，这有助于减少我们的妥协指标（“IoCs”），并让操作员能够以最小的努力启动复杂的配置文件。这是通过广泛审查文章以及补丁说明来识别关键功能和可修改特性而实现的。SourcePoint 的设计初衷是解决如何让我们的 C2 活动更难被检测的问题，重点是从恶意 IoC 转向可疑 IoC。这里的目标是，如果我们的 IoC 本质上不是恶意的，并且需要额外研究才能发现其可疑性质，那么我们的 C2...

CVE-2024-26229-BOF

CVE-2024-26229 BOF CVE-2024-26229的Beacon Object File实现——通过DKOM令牌窃取实现Windows CSC驱动程序本地权限提升。 基于RalfHacker/CVE-2024-26229-exploit，转换为具有动态函数解析DFR的BOF，用于与支持Cobalt Strike BOF API的C2框架一起使用。 工作原理 1. 通过NtCreateFile打开\Device\Mup;Csc..以获取CSC驱动程序句柄 2. 发送IOCTL 0x001401a3...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

PortBender

概述 PortBender 是一个 TCP 端口重定向工具，允许红队操作员将发往一个 TCP 端口（例如 445/TCP）的入站流量重定向到另一个 TCP 端口（例如 8445/TCP）。PortBender 包含一个攻击者脚本，操作员可以利用该脚本将工具与 Cobalt Strike 集成。但由于该工具以反射 DLL 形式实现，它可以与任何支持通过“ReflectiveLoader”接口加载模块的 C2 框架集成 1。该工具还允许操作员模拟 Duqu 2.0 威胁行为体所使用的“PortServ.sys”能力中的后门/持久化机制。 设计 PortBender 利用 WinDivert...

ScheduleRunner

ScheduleRunner - 一个具有更高灵活性的C工具，用于定制红队操作中的计划任务，以支持持久化和横向移动 计划任务是过去十年中最流行的攻击技术之一，如今黑客/红队成员仍常将其用于持久化和横向移动。 已有多种C工具被开发出来模拟使用计划任务的攻击。我尝试过其中一些，但每个工具在定制计划任务方面都有其局限性。因此，本项目旨在提供一个C工具（兼容CobaltStrike的execute-assembly），包含我所需要的功能，并提供足够的灵活性来定制计划任务。 截图： 方法 /method: 方法| 功能 ---|--- create| 创建一个新的计划任务 delete|...

AceLdr

AceLdr - 规避内存扫描器 一个用于 Cobalt Strike 的位置无关反射加载器。来自 Hunt-Sleeping-Beacons、BeaconHunter、BeaconEye、Patriot、Moneta、PE-sieve 或 MalMemDetect 的检测结果均为零。 功能 易于使用 在生成 shellcode 之前导入单个 CNA 脚本。 动态内存加密 为 Beacon 的任何分配创建新堆，并在休眠前加密条目。 代码混淆与加密 将包含 CS 可执行代码的内存更改为不可执行并加密（FOLIAGE）。 执行时返回地址欺骗 某些 WinAPI...

pyCobaltHound

快速总结 pyCobaltHound 是一个用于 Cobalt Strike 的 Aggressor 脚本扩展，旨在提供 Cobalt Strike 与 Bloodhound 之间的深度集成。 pyCobaltHound 旨在通过以下方式帮助红队操作人员： 自动查询 BloodHound 数据库，发现新收集凭证所打开的提权路径。 自动将受感染的用户和计算机标记为已控制。 允许操作人员快速、轻松地调查 Beacon 会话和用户的提权潜力。 为此，pyCobaltHound 使用一组内置查询。操作人员还可以添加/删除自己的查询，以微调 pyCobaltHound...

sysmon-config

sysmon-config | Un archivo de configuración de Sysmon Esta es una versión bifurcada fork y modificada del sysmon config de @SwiftOnSecurity. Comenzó siendo simplemente una copia del repositorio original. Hemos fusionado la mayoría de las más de 30 pull requests abiertas. De este modo, hemos...

BeaconHunter

BeaconHunter 基于行为的监控与狩猎工具，使用 C 构建并利用 ETW 追踪。蓝队成员可使用此工具检测和响应潜在的 Cobalt Strike 信标。红队成员可使用此工具研究 ETW 绕过技术并发现行为类似信标的新进程。 作者 ：Andrew Oliveau @AndrewOliveau 摘要 注入良性进程中的信标植入体，其线程通常处于 Wait:DelayExecution 状态（可能与 Cobalt Strike 的 sleep 有关）。查找所有包含处于 Wait:DelayExecution 状态线程的进程，然后利用 ETW 追踪专门监控可疑线程活动： HTTP/HTTP...

CSPOC

Cobalt Strike 存储型XSS RCE CVE-2022-39197 运行参数： -u: Cobaltstrike http监听的地址，如 http://127.0.0.1:8500 -p: Payload，如 不宜过长 演示： 打包命令：go build -ldflags "-s -w" QQ 群： 点击加入：528118163 加群 / 合作 / 联系（左） | 公众号：遮天实验室（右）...

CobaltStrikeScan

CobaltStrikeScan 扫描文件或进程内存以检测Cobalt Strike信标并解析其配置。 CobaltStrikeScan 扫描Windows进程内存以查找DLL注入（经典注入或反射注入）的证据，并对目标进程内存执行YARA扫描，以检测Cobalt Strike v3和v4信标签名。 或者，CobaltStrikeScan可以对通过绝对或相对路径作为命令行参数提供的文件执行相同的YARA扫描。 如果在文件或进程中检测到Cobalt Strike信标，将解析该信标的配置并显示在控制台中。 克隆此仓库...

Registry-Recon

Registry-Recon 执行系统/AV/EDR 侦察的 Cobalt Strike Aggressor 脚本。 作者：Jess Hires 描述 作为红队实践者，我们经常使用工具来尝试识别受感染系统的详细信息，并且尽可能以最隐蔽的方式进行。由于使用了 Windows CLI 命令，我们常用的一些工具开始被 EDR 产品标记。本 aggressor 脚本旨在通过仅使用原生注册表查询（不使用 CLI 命令）来探测系统，从而解决该问题。 设置 只需通过脚本管理器将 reg.cna 加载到 Cobalt Strike 中。然后右键单击要执行注册表侦察的 beacon，选择...

KDStab

KDStab 2022年6月28日 ：微软已推出补丁，阻止打开 MsMpEng.exe 令牌的句柄，因此本工具的 KillDefender 部分不再可用。Backstab 仍应有效。尚不清楚补丁 ID，可能在未打补丁的旧系统上仍可工作。已在 Win10 21H2 和 Win11 上验证。 这是一个结合了 Yaxser 的 Backstab 和 pwn1sher 的 KillDefender 的 Beacon 对象文件实现，用于 Cobalt Strike。 介绍 KDStab 是一款后渗透工具，用于击败 Windows...

SharpHose

概览 SharpHose 是一款 C 编写的密码喷洒工具，旨在快速、安全且可在 Cobalt Strike 的 execute-assembly 中使用。它提供了一种灵活的方式，既能在已加入域的环境下，也能在未加入域的环境下与 Active Directory 交互，同时还能针对特定域和域控制器。SharpHose 会考虑域密码策略（包括细粒度密码策略），以避免账户锁定。它会枚举适用于用户和组的细粒度密码策略，若策略也适用于组，则捕获组内用户。然后，所有已启用的域用户会根据其密码策略按优先级顺序分类，并标记为安全或不安全。剩余的用户会通过可选的用户提供排除列表进行过滤。...

CobaltBus

CobaltBus Cobalt Strike 通过 Azure 服务总线的外部 C2 集成，C2 流量经由 Azure 服务总线 设置 1. 创建一个 Azure 服务总线 2. 创建一个共享访问策略（连接字符串），该策略仅允许发送和监听 3. 编辑 Beacon C 项目中的 static connectionString 变量，使其与步骤2中创建的共享访问策略的“主连接字符串”值匹配。 4. 需要在 CobaltBus 项目中更新相同的变量，但必须使用“RootManageSharedAccessKey”共享访问策略的“主连接字符串”。（需要“管理”权限） 5. 设置 Cobalt...