cobalt strike木马免杀

梦里梦外; 2023-10-06 06:25 41阅读 0赞

## 0x001-针对powershell免杀 ##

### 工具：Invoke-Obfuscation ###

**操作实例：**

**1、利用CS生成powershell木马**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70]

**2、进入invoke-Obsfuscation文件，使用powershell命令执行**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 1]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 2]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 4]  
![在这里插入图片描述][20200502015457216.png]  
![在这里插入图片描述][20200502015502622.png]

**3、利用powershell命令执行免杀后的ps1文件，成功上线**  
![在这里插入图片描述][20200502015510544.png]

## 0x002 -针对可执行程序(.exe)的免杀 ##

### 工具：shellter ###

**1、进入shellter执行命令**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 5]  
PE文件就是可执行程序或者dll文件

![在这里插入图片描述][20200502015621762.png]  
启用隐身模式免杀率好像会降低，但是好处就是可以正常执行你填写的PE文件，例如我这里所用的PE文件是计算器，我开启隐身模式后执行生成的免杀木马也可以使用计算器功能。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 6]  
![在这里插入图片描述][2020050201570316.png]

我是利用Cobalt strike来建立监听的，当然也可以使用MSF来建立监听，只要你创建的监听和shellter里设置的监听一致就可以了。

**2、测试生成的木马免杀率**

![在这里插入图片描述][20200502015740995.png]

效果还是挺不错的，生成的木马会替换你填写的PE文件，而且还会在shellter\\Shellter\_Backups目录备份PE文件

## 0x003-下载地址 ##

链接：https://pan.baidu.com/s/1z5QcBrYIyMjAZ6z5nTM7lg

提取码：wgpe

欢迎大伙加入渗透学习交流群：1084999372（本群不搞HC）

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/2020050201522952.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200502015411910.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/2020050201542284.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200502015434372.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200502015445398.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[20200502015457216.png]: https://img-blog.csdnimg.cn/20200502015457216.png
[20200502015502622.png]: https://img-blog.csdnimg.cn/20200502015502622.png
[20200502015510544.png]: https://img-blog.csdnimg.cn/20200502015510544.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200502015559795.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[20200502015621762.png]: https://img-blog.csdnimg.cn/20200502015621762.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200502015645978.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hmNTU1ZXI=,size_16,color_FFFFFF,t_70
[2020050201570316.png]: https://img-blog.csdnimg.cn/2020050201570316.png
[20200502015740995.png]: https://img-blog.csdnimg.cn/20200502015740995.png