[HACK学习呀] - 2021-01-08 Cobaltstrike插件 - CrossC2踩坑记录1

【CobaltStrike插件与CrossC2简介】 CobaltStrike是一款广泛应用于网络安全评估的工具，主要用于模拟攻击者的行为，帮助企业红队进行合法的安全测试。它提供了多种功能，包括Beacon（代理）植入、指挥与控制（C2）通道建立、内网渗透等。而CrossC2是一个扩展了CobaltStrike功能的框架，它允许红队在除Windows之外的系统，如Linux和MacOS上执行安全评估。 CrossC2的主要特点包括： 1. **跨平台支持**：CrossC2增加了CobaltStrike对Linux和MacOS等非Windows操作系统的支持，扩大了渗透测试的范围。 2. **自定义模块**：用户可以根据需要编写自己的渗透测试模块，增强工具的灵活性和适应性。 3. **内置模块**：CrossC2提供了一些预设的渗透模块，可以直接用于安全评估任务。 【安装与使用CrossC2】 要使用CrossC2，你需要从其GitHub仓库（https://github.com/gloxec/CrossC2/releases）下载对应的版本。注意，不同版本的CobaltStrike需要对应版本的CrossC2，例如4.0分支对应CobaltStrike 4.0，4.1分支对应CobaltStrike 4.1。 【解决常见问题】 在Windows环境下使用CrossC2时，可能会遇到以下两个问题： 1. **丢失ucrtbased.dll**：当尝试运行genCrossC2.Win.exe时，可能会出现错误提示，指出缺少ucrtbased.dll。为了解决这个问题，你可以安装Visual Studio 2017或2019。如果你不想安装完整版本的Visual Studio，也可以单独下载缺失的32位dll文件（ucrtbased.dll），将其放入C:\Windows\System32目录下。 2. **生成Linux Beacon的问题**：在Windows系统中，CNA（CobaltStrike的脚本语言）插件可能因为路径问题导致生成Linux Beacon失败。具体表现为CNA脚本中的某些路径（如`/tmp/`）在Windows下无效。要解决这个问题，你需要修改CNA脚本中的相关路径，例如将`/tmp/CrossC2-test`更改为`CrossC2-test`，并删除不适用于Windows系统的代码。 - 修改第3、4行的路径。 - 更改第115行的`outputFileName`，删除`/tmp/`，让生成的文件保存在CobaltStrike的根目录下。 - 删除第29行的`getSystemInfo`函数及其相关引用，因为Windows系统中没有`/usr/bin/uname`。 - 调整第89行的索引，将`$data[13]`改为`$data[12]`，以正确获取生成的Beacon大小。 完成上述修改后，你应该能够顺利在Windows环境中使用CrossC2生成并管理针对不同操作系统的Beacon。 【总结】 CrossC2作为CobaltStrike的扩展工具，增强了其在多平台环境下的渗透测试能力。虽然在不同平台上使用时可能会遇到一些问题，但通过理解其工作原理和进行适当的代码调整，可以有效地解决这些问题。对于红队成员和安全评估专家来说，熟悉并掌握CrossC2的使用能极大地提升工作效率和测试效果。