LSTAR - CobaltStrike综合后渗透插件

目录导航

LSTAR – Aggressor

本着简化 CS 右键和方便自己集成的目的，对 Reference 里的项目进行了缝合以及二次开 (抄) 发 (袭)

重构和丰富了主机相关凭据获取、多级内网穿透、ZeroLogon 漏洞、免杀的 Mimikatz 和 Adduser 等功能

主要包含以下功能模块：

文件目录列表

├─modules
│      AuthMaintain.cna
│      AuthPromote.cna
│      BypassCxk.cna
│      HavingFun.cna
│      InfoCollect.cna
│      IntrAgent.cna
│      IntrScan.cna
│      LateMovement.cna
│      PassCapture.cna
│      RemoteLogin.cna
│      TraceClean.cna
│
└─scripts
    ├─AuthMaintain
    │  ├─AdUserApi
    │  │      HaryyUser.exe
    │  │
    │  ├─Exitservice
    │  │      uinit.exe
    │  │
    │  ├─Linkinfo
    │  │      reflective_dll.dll
    │  │
    │  ├─Msdtc32
    │  │      reflective_dll.dll
    │  │
    │  ├─Netapi32
    │  │      api.dll
    │  │      reflective_dll.dll
    │  │
    │  ├─Services
    │  │      reflective_dll.dll
    │  │      TransitEXE.exe
    │  │
    │  ├─ShadowUser
    │  │      scvhost.exe
    │  │
    │  ├─StartUp
    │  │      reflective_dll.dll
    │  │
    │  ├─Task_Scheduler
    │  │      reflective_dll.dll
    │  │
    │  └─Wmi
    │          Wmi_Persistence.ps1
    │
    ├─AuthPromote
    │  │  BadPotato.exe
    │  │  cve-2014-4113.x64.dll
    │  │  cve-2014-4113.x86.dll
    │  │  cve-2015-1701.x64.dll
    │  │  cve-2015-1701.x86.dll
    │  │  cve-2016-0051.x86.dll
    │  │  CVE-2020-0796.x64.dll
    │  │  dazzleUP_Reflective_DLL.x64.dll
    │  │  Invoke-EternalBlue.ps1
    │  │  Invoke-MS16032.ps1
    │  │  Invoke-MS16135.ps1
    │  │  JuicyPotato.exe
    │  │  JuicyPotato.x64.dll
    │  │  JuicyPotato.x86.dll
    │  │  ms15-051.exe
    │  │  ms16-016.exe
    │  │  ms16-032.exe
    │  │  SharpBypassUAC.exe
    │  │  SweetPotato.exe
    │  │  Watson.exe
    │  │
    │  └─CVE-2021-1675
    │      ├─3.5
    │      │      SharpPrintNightmare.exe
    │      │
    │      └─4.5
    │              SharpPrintNightmare.exe
    │
    ├─BypassCxk
    │      adduser.exe
    │      mimi.exe
    │
    ├─InfoCollect
    │  │  AD.dll
    │  │  AdFind.exe
    │  │  Check-VM.ps1
    │  │  Ladon.exe
    │  │  LRC.exe
    │  │  netview.exe
    │  │  Powerview.ps1
    │  │  SharpAVKB.exe
    │  │  SharpChassisType.exe
    │  │  SharpCheckInfo.exe
    │  │  SharpClipHistory.exe
    │  │  SharpDir.exe
    │  │  SharpEDRChecker.exe
    │  │  SharpEventLog.exe
    │  │  SharpNetCheck.exe
    │  │  SharpSQLDump.exe
    │  │  SharpWebScan.exe
    │  │
    │  └─everything
    │          Everything.exe
    │          Everything.ini
    │
    ├─IntrAgent
    │  ├─x64
    │  │      agent.exe
    │  │      frpcx.exe
    │  │      iox.exe
    │  │      npc.exe
    │  │
    │  └─x86
    │          agent.exe
    │          frpcx.exe
    │          iox.exe
    │          npc.exe
    │
    ├─IntrScan
    │  │  SharpOXID-Find.exe
    │  │  SharpSpray.exe
    │  │  SharpWebScan.exe
    │  │
    │  ├─x64
    │  │      Allin.exe
    │  │      cube.exe
    │  │      fscan.exe
    │  │
    │  └─x86
    │          Allin.exe
    │          cube.exe
    │          fscan.exe
    │
    ├─LateMovement
    │  │  InternalMonologue.exe
    │  │  MS14-068.exe
    │  │  SharpDomainSpray.exe
    │  │  SharpHound.exe
    │  │  SharpShares.exe
    │  │  sharpwmi.exe
    │  │  SPNSearcher.exe
    │  │  WMIHACKER.vbs
    │  │
    │  ├─kekeo
    │  │  ├─samba
    │  │  │      lib_smb_pipe.c
    │  │  │      lib_smb_pipe_x64.so
    │  │  │      lib_smb_pipe_x86.so
    │  │  │
    │  │  ├─Win32
    │  │  │      kekeo.exe
    │  │  │
    │  │  └─x64
    │  │          1.txt
    │  │          kekeo.exe
    │  │
    │  └─ZeroLogon
    │          zerologon.x64.o
    │          zerologon.x86.o
    │
    ├─PassCapture
    │  │  BrowserGhost.exe
    │  │  CatchChrome.exe
    │  │  CredPhisher.exe
    │  │  CVE-2021-36934.exe
    │  │  FakeLogonScreenToFile.exe
    │  │  hack-browser-data.exe
    │  │  InternalMonologue.exe
    │  │  lazagne.exe
    │  │  lock-screen.ps1
    │  │  Minidump.exe
    │  │  MiniDumpLsass.exe
    │  │  navicatpwd.exe
    │  │  Net-GPPPassword_dotNET_v2.exe
    │  │  SharpChromium.exe
    │  │  SharpCloud.exe
    │  │  SharpDecryptPwd.exe
    │  │  SharpDecryptPwd40.exe
    │  │  SharpWeb.exe
    │  │  SharpWifiGrabber.exe
    │  │
    │  ├─fakelogonscreen_trunk
    │  │  │  FakeLogonScreen.exe
    │  │  │  FakeLogonScreenToFile.exe
    │  │  │  README.md
    │  │  │
    │  │  └─DOTNET35
    │  │          FakeLogonScreen.exe
    │  │          FakeLogonScreenToFile.exe
    │  │
    │  ├─HackBrowserData
    │  │  ├─x64
    │  │  │      hack-browser-data.exe
    │  │  │
    │  │  └─x86
    │  │          hack-browser-data.exe
    │  │
    │  └─LsassDump
    │      ├─x64
    │      │      LsassDump.exe
    │      │
    │      └─x86
    │              LsassDump.exe
    │
    └─RemoteLogin
            CheckRdpStatus.ps1
            EventLogFailed.ps1
            EventLogSuccess.ps1
            Invoke-WCMDump.ps1
            KillEvenlogService.ps1
            RegfDenyTSConnections.ps1
            RegRdpPort.ps1
            StartRdp.exe

每个模块均在运行前添加了绿色分割线，方便定位回显信息，提高协作效率

CobaltStrike 主机上线微信通知插件：

如果想使用免费且支持微信模板消息推送的方式可以移步：
https://github.com/lintstar/CS-PushPlus
如果有订阅 ServerChan 的企业微信推送通道可以移步：
https://github.com/lintstar/CS-ServerChan