Cobalt Strike之DNS Beacon使用記錄

*原創作者：補丁君，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

筆者使用環境

Cobalt Strike開啟團隊伺服器模式需要Java環境，本機使用也需要，推薦安裝Oracle java8

先上傳Cobalt Strike壓縮包到伺服器上，解壓

如圖所示，輸入命令

root@AliYun:~/cobaltstrike# nohup ./teamserver 你的伺服器ip 你要設置的密碼&

這樣就可以開啟Cobalt Strike的團隊服務模式了，並且可以後台掛載在那裡

然後，本機打開Cobalt Strike，輸入伺服器IP、埠、密碼，用戶名任意設置

順利的就連上了伺服器，現在開始正題

拿出我們準備好的域名，修改NS記錄綁定到DNSPod上

先添加一個域名A記錄，指向我們的伺服器IP

想用Cobalt Strike的DNS Beacon話，我們還需要添加兩個域名的NS記錄

注意：記錄值要填寫剛剛設置A記錄的二級域名fuck.xxx.com，最後設置好如圖所示

下面開始配置Cobalt Strike，生成後門

添加一個listener，選擇第一個beacon_dns就是走DNS隧道協議，隱蔽性極強，不開任何埠。（缺點：響應速度慢）

配置好監聽後，就開始生成後門吧

目標是32位的就默認就好，64位的就勾選下選項即可

生成好木馬，就利用一些猥瑣的手段放進目標機運行咯（筆者這裡就直接複製進去雙擊了～～）

注意還未運行前埠開放狀態

運行木馬後，Cobalt Strike已經呈現出一個主機會話了

可以發現，會話延遲很高！主機的一些信息都還沒反應過來！此時我們再來看看主機埠開放情況

與運行前並無什麼差別的～

現在也有很多後門傳輸開始走DNS隧道了，比以往走HTTP、TCP等更難察覺，傳送門http://www.freebuf.com/sectool/110815.html

筆者對此方式的理解如下：（錯誤之處，請提出一起交流學習～）

木馬向DNS伺服器ns1.xxx.xxx發起通信——>DNS伺服器ns1.xxx.xxx指向域名fuck.xxx.xxx——>域名fuck.xxx.xxx指向VPS的ip——>木馬與VPS建立DNS隧道連接

VPS上的teamserver向本機Cobalt Strike返回主機會話

後面怎麼利用就是beacon>help 查看命令自己造吧～～

那麼，我們試試不走DNS隧道呢？

再添加個監聽，走http通道

重新生成個後門，運行後，返回了主機會話（速度很快）

此時，我們查看下目標主機埠開放情況

這就是走HTTP傳輸了，埠開放可以被探測到，但這種模式傳輸數據相對要快很多了

後面深入應用就不在此文表述了，僅為拋磚引玉～

參考：

https://blog.cobaltstrike.com/2013/06/06/dns-command-and-control-added-to-cobalt-strike/

https://www.cobaltstrike.com/help-dns-beacon

*原創作者：補丁君，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載