红队 Cobalt Strike 安全加固

Posted 2021-03-23 dubh3

1.不要使用 Cobalt Strike 默认的HTTPS证书。
　　1.1 如何使用自签名证书见  https://wbglil.gitbooks.io/cobalt-strike/cobalt-strikekuo-zhan/csmo-ren-duan-53e3-zheng-4e66-za-xiang.html
　　1.2 有自己域名情况下可使用 Let‘s Enceypt 生成免费证书，如果你赖的话可直接使用在线生成 https://freessl.cn/，然后把证书转为JKS格式即可(在线转换 https://myssl.com/cert_convert.html)

2. 0.0.0.0 是 Cobalt Strike 的 DNS Beacon特征。使用 Malleable C2 中的 dns_idle 选项将其更改为其他内容。

3.编辑teamserver脚本的最后一行，将端口从50050更改为其他内容。

4.如果 Cobalt Strike 正在承载信标有效载荷阶段，它将发送有效载荷阶段以响应有效请求。即使在 Cobalt Strike 中配置 HTTP stager 块，这仍然是正确的。HTTP Stager 块重新配置 Cobalt Strike 中的分段指示器。它不会禁用与 Metasploit 框架的兼容性。如果不希望 Cobalt Strike 承载有效载荷阶段，请将 Malleable C2 中的 host_stage 选项设置为 false。此选项需要对操作方式进行一些更改。

5.使用 Apache 或 nginx web服务器作为 CS 攻击团队服务器的重定向器。将对团队服务器的80/443连接限制为这些重定向。正确配置的重定向器将平滑特定于 Cobalt Strike web服务器的指示器(例如用于SSL连接的JA3S指纹)。对于非登台和非命令和控制uri，重定向也是提供合法内容的机会。