Cobaltstrike隐藏上线

根据前面的文章进行的cdn和域名配置完成后在cs上执行的操作。

http上线

1. 配置Listener HTTP Host Header ，必须填写你的域名。

2. 生成无阶段的木马

运行 木马，主机可以成功上线。可以发现不是自己的vps的ip地址。

优点：利用CDN分布式技术，不同区域的主机就近连接到CDN服务，优化了访问质量，隐藏了真实服务 器的ip；且CDN分布式技术可以在一定程度抵抗DDOS大流量攻击；使用国内CDN适合用于做红蓝对抗 技术比拼等合法目的。
缺点：受控主机还是通过我们自己的域名进行回连，对外还是能看到连接域名；且如果使用国内CDN的 服务(增加了风险)，域名就必须完成ICP备案(增加了风险)

dns上线

1.先在cf上设置好dns的东西，然后去cs上创建一个监听器。再去使用这个监听器生成一个无阶段的木马，开始执行上线。

2.执行成功上线后会发现是空白的，直接点击交互，使用checkin命令强制回连到teamserver。就会显示出名称那些了。

注意：使用dns的话，回传的数据比较慢，一次性不会太多数据回来。想提高速度，就改模式为dns-txt

CS流量隐藏

1. CS配置文件Profile
   下载地址
   https://github.com/threatexpress/malleable-c2
   https://github.com/threatexpress/malleable-c2/archive/refs/heads/master.zip

keystore 的生成方法：
去 Cloudflare 的 SSL/TLS > 源服务器 创建证书，使用默认配置生成 pem 和 key 。
保存源证书内容为 cloudflare.pem ，保存私钥内容为 cloudflare.key。和之前的MSF的https的方式创建一样。

2.将创建的 pem 和 key 文件上传至云服务器。执行以下命令，将生成的 keystore 文件放在云服务器CS的根目录下。

openssl pkcs12 -export -in cf.pem -inkey cf.key -out www.subia.top.p12 -name www.subia.top -passout pass:admin123


keytool -importkeystore -deststorepass admin123 -destkeypass admin123 -destkeystore www.subia.top.store -srckeystore www.subia.top.p12 -srcstoretype PKCS12 -srcstorepass admin123 -alias www.subia.top

3.然后对 4.3 版本 Profile 进行修改。将 keystore 文件名称和密码填入 profile 文件中。
一共有四处修改的地方。
(1) https-certificate 模块中的 keystore 和 password ，修改后把注释去掉

set keystore "www.subia.top.store" 
set password "admin123";

(2) http-stager 修改 Client 配置中的 Host 和 Referer，server中改成 *

(3) http-get 修改 Client 配置中的 Host 和 Referer，server中改成 *

(4) http-post 修改 Client 配置中的 Host 和 Referer，server中改成 *

4.执行 ./c2lint jquery-c2.4.7.profile ，出现这种页面就说明已经成功。

5.修改cdn的文件，先清除缓存，再开启开发者模式

6.测试上线 ，使用修改好的profile启动CS ,然后配置监听器。

./teamserver 172.17.45.88 cs jquery-c2.4.7.profil

7.生成无阶段的payload ，执行上线测试。发现并不是自己的真实ip，达到流量隐藏的效果。