【蓝队技能】【溯源反制】反打红队-CS反打&其他

蓝队技能

---

---

总结

---

前言

本文深入探讨了溯源反制中针对远程控制工具CobaltStrike的多种策略与技术。从伪造流量批量上线、利用特定漏洞（如CVE-2022-39197）进行反制，到爆破CS服务端密码、旁站反制，再到蜜罐与邮件钓鱼反制、渗透工具漏洞利用、OpenVPN配置后门，以及盲打攻击反制等，本文全面揭示了蓝队在面对CobaltStrike攻击时的多样化应对手段。这些策略与技术不仅有助于蓝队提升防御能力，还能为网络安全从业者提供宝贵的实战参考。

---

一、CS批量上线

CS批量上线原理
条件：知道对方的CS的服务端地址，开启了http监听器

1. 解密Cookie加密数据
   cookie解密工具

python parse_beacon_config.py wZ9S --json > wZ9S.json


2. 利用批量脚本重放上线
批量上线脚本

填写密钥及修改上线信息后启动脚本

python cs_fakesubmit.py

二、利用漏洞（CVE-2022-39197）

条件:

1. 机器被CS控制的木马程序 Cobalt Strike <=4.7
2. XSS 操作过进程管理
   • 获取真实ip地址
   • 获取NTLM
   • RCE
   • SSRF
   POC项目地址
   
   
   
   
   
   

三、CS的Server端破解

条件：

1. 知道对方的CS的服务端地址
2. 针对没有采用隐匿C2地址的技术导致的反制（后门样本被溯源到C2地址）

思路：当发现CS木马文件后，查看文件连接的CS服务器地址，对CS的服务端进行爆破 CS爆破脚本

python csbruter.py 192.168.189.128 pass.txt

四、旁站反制

原理：由于CS服务器经常会部署不止于CS服务端的应用，还会搭建NPS,ARL灯塔等，可采用未授权或默认密码进行反制

例子：NPS未授权
https://github.com/weishen250/npscrack
https://mp.weixin.qq.com/s/ASrWlMM4QfnkqvAMVyN6GA

五、蜜罐反制

主要就是下述反制手段做操作

1. 可克隆相关系统页面，伪装“漏洞”系统
2. 互联网端投饵，一般会在Github、Gitee、Coding上投放蜜标（有可能是个单独的网站地址、也有可能是个密码本引诱中招）
3. 利用JSONP、XSS、CSRF等前端类漏洞获取访问蜜标的攻击者网络身份（网络画像）

六、邮件钓鱼反制

安全防护基础较好的厂商，一般来说除了出动0day，物理近源渗透以外，最常见的就是邮件钓鱼了，在厂商收到邮件钓鱼的情况下，我们可以采取化被动为主动的方式，假装咬钩，实际上诱导攻击者进入蜜网。

七、其他反制技术

1. 渗透工具漏洞:
	可以尝试挖掘蚁剑、冰蝎、菜刀、BurpSuite、SQLmap、AWVS的0day漏洞（需要一定的技术水平），或利用历史漏洞部署相关环境进行反打 

2. OpenVPN配置后门:
	OpenVPN配置文件（OVPN文件，是提供给OpenVPN客户端或服务器的配置文件）是可以修改添加命令的。 

3. 盲打攻击反制	
	攻击者可能通过盲打漏洞方式来获取权限，一般盲打都具备一个数据回传接口（攻击者需要接收Cookie之类的数据），接口在JavaScript代码中是可以寻找到的，我们可以利用数据回传接口做以下两件事情，并后续引导攻击者进入我们部署好的蜜罐。
	a. 打脏数据回传给XSS平台
	b. 打虚假数据回传给XSS平台 

4. 通过攻击服务器端口/Web等漏洞	
	攻击者可能是通过自己搭建的公网服务器进行攻击的，或者是通过此服务器与后门进行通讯。其中服务器可能运行诸多服务，且未打补丁或设置强密码，导致防守方可进行

---