CobaltStrike利用ExternalC2 绕过AV

文章预览

写在前面 此前遇到一个最新版的Windows Defender，一直想上Cs打内网方便一点，但是奈何一直绕不过去，大概试了这些方法 1. Veil Go/C#/Psh shellcode loader 2. Floov shellcode loader 3. GSL shellcode loader 4. Darkarmour 混淆 5. Powershell混淆 6. 等等payload加载器 然后最近看文章发现俩个东西(感谢俩位开发者): https://github.com/gloxec/CrossC2 https://github.com/Lz1y/GECC/ 这是俩个Cs的ExternalC2,cs除了默认内置的控制方式以外还支持自定义c2的开发 第一个CrossC2是一个支持Linux系统的客户端，不过不太完善支持shell操作 第二个是一个Golang开发的windows的客户端，理论上来说之前通过研究发现Defender拦截的是启动时候的打头马，和上线之后发送的stage，如果使用自定义的c2，那么stage的特征就变了就可以达到绕过Defe ………………………………