用于横向移动的 Cobalt Strike 套件
重要提示: 要使用此脚本,用户只需要加载 MoveKit.cna 攻击者脚本,该脚本会自动加载所有其他必要的脚本。此外,根据所采取的操作,需要编译 SharpMove 和 SharpRDP 程序集,并将其放置到 Assemblies 目录中。最后,部分文件移动需要动态编译,这需要 Mono。
在加载攻击者脚本时,会加载一个选择器,命名为 menubar 中的 Move。用户可以选择多种选项。首先,用户可以选择通过 WMI、DCOM、任务调度程序、RDP 或 SCM 在远程系统上执行命令。其次,有 Command 执行机制,它使用下载框架来获取和执行文件。第三, File 方法会在系统上放置文件并执行它。还有 Write File Only 选项,它不执行任何操作,仅仅写入数据。最后,还有 Default 设置,可使使用 GUI 更快速,并与信标命令一起使用。默认设置用于任何可以接受默认值的操作。
要使用信标命令,它将读取默认设置并使用一些命令行参数。信标命令示例: move-msbuild 192.168.1.1 http move.csproj 此外,自定义预构建的信标命令略有不同。命令示例: move-pre-custom-file move-pre-custom-file computer001.local /root/payload.exe legit.exe
位置字段是项目中最棘手的部分。选择 WMI 文件移动时，将使用 位置，如果选择 SMB，则不会使用（因此可以将其留空）。 位置 支持三种不同的值。首先，如果 位置 是一个 URL，则在创建有效载荷时，它将由 Cobalt Strike 的 Web 服务器托管。信标主机为
暂无开放 Issues，或尚未同步最近议题。