Cobaltstrike-派生SMB_Beacon

(Updated: )
工具使用
,

SMB Beacon 简介

派生 SMB Beacon，Cobastrike 内网横向渗透扩展功能，Windows 将命名管道通信封装在 SMB 协议中，此流量封装在SMB协议中，所以SMB beacon相对隐蔽，能最大程度规避安全设备及防火墙的发现。SMB Beacon 使用命名管道通过父级 Beacon 进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。这种对等通信对同一台主机上的 Beacon 和跨网络的 Beacon 都有效，即 SMB Beacon 通过管道（ pipe）进行进程间的数据传递。管道通信的进程可以是本地主机上的两个进程，也可以和远程主机上的进程通过网络进行通信。SMB beacon不能直接生成可用载荷, 只能使用 PsExec 或 Stageless Payload 上线。

3.1

使用要求

1
2
具有SMB Beacon的主机必须接受端口445上的连接。
只能链接由同一Cobalt Strike实例管理的Beacon。

派生 SMB Beacon

1、通过前期打点，已上线CS，获取beacon

image-20220903110750284

2、派生SMB Beacon

新建SMB Beacon 监听器

image-20220903110819958

派生会话SMB Beacon，个人习惯首先sleep 0，右键选中HTTP监听器上线的主机，interact进入Beacon控制台，输入spawn加SMB Beacon的监听器名称，刚新建名称为SMB，所以执行spawn SMB，运行成功后在external中可以看到IP后有个∞∞字符的派生SMB Beacon。

image-20220902223114325

此时派生Beacon可同父Beacon一样执行命令

image-20220903112356439

团伙协作-（失败）

主从服务器 派生 到队伍服务器。SMB Beacon可派生多个Beacon，可独立派生Beacon给团队每一位成员，且Beacon在各自的服务器上，互不影响。即从主从服务器派生到队伍服务器

1
队友服务器 Listen 生成 > 团队服务器 Listen 生成 使用队友IP > Spawn

image-20220903113550312

image-20220903113820361

很遗憾，这一步参考了很多文章都无法实现，后补…..

参考文章

1
2
3
4
5
6
7
8
https://blog.csdn.net/q20010619/article/details/121755856
http://www.luckyzmj.cn/posts/35eac48c.html
https://www.cnblogs.com/f-carey/p/15844629.html#tid-z8j5nK
http://blog.leanote.com/cate/snowming/Cobalt-Strike
http://blog.leanote.com/post/snowming/2ec80f7823e0
https://github.com/aleenzz/Cobalt_Strike_wiki/blob/master/%E7%AC%AC%E4%B8%89%E8%8A%82%5BSMB%20Beacon%5D.md
https://apt404.github.io/2017/12/29/cobalt-strike-spawn/
http://blog.leanote.com/post/snowming/de88219734d1