'CobaltStrike上线提醒篇'

⬆置顶 |
发表于 更新于 分类于 阅读次数：

hello，师傅们好，我是c|imb，你也可以叫我爪巴，距离我上一次写文章还是在上次。
事情是这样的，最近想搞个上线提醒脚本，虽然现在网上有几个现成的(https://github.com/sry309/cobalt_strike_bot.git )，但感觉微信消息太多，email和tg不常看，所以只剩下钉钉可以用一下。后来我又看到了
某个师傅写了cs-sms-send短信消息提醒，嗯，能搞。话不多说，直接开冲。

钉钉上线提醒

想直接偷懒用该脚本来着

发现不太行，算了，放弃了，开车回家睡觉。(周少19年买的车.jpg) 划掉此条，我在吹牛

学汽修的男生岂能轻言放弃！

于是我找到了一个项目(忘记地址了)，原理就是CobaltStrike cna插件脚本检测到上线后调用python发包

钉钉建个新群

发起群聊—> 同学群 —> 随便起个名CS_bot 创建即可
电脑端貌似不能自己一个人建群，必须要添加个人。(也可能是我没找到)我这里是用手机创建的。

创建个自定义机器人

创建机器人需要电脑端才行。否则就会如下情况

群设置 —> 智能群助手 —> 添加机器人 —> 自定义机器人
起个名，设置关键词，想设置CobaltStrike的，发现有长度限制，算了，就这样吧

生成一个access_token记一下

cna脚本

大致构想就是：检测IP、计算机名、用户名；检测到新会话，就运行一遍写好的脚本。
看了下官方文档，嗯，懂了。
Reacting to new Beacons
beacon_initial函数：对新Beacons做出反应。
提示：如果要DNS Beacon，则使用beacon_initial_empty函数。
我这里使用的是https Beacon，所以无所谓。
beacon_info函数：从Beacon session’s会话中获取元数据(字段)信息。跟awk差不多。
(last | awk ‘{print $3}’) awk是指定第几行的字段，而beacon_info是可以直接第二个参数指定元数据。如图所示

最终经过修改，代码如下
当有主机上线时，获取我们需要的参数，将参数发给py脚本，py脚本再执行将参数发送给钉钉

1
2
3
4
5
6
7
8
9
10
11
on beacon_initial {
    println("Initial Beacon Checkin: " . $1 . " PID: " . beacon_info($1,"pid"));
    local('$internalIP $computerName $userName');
    $internalIP = replace(beacon_info($1,"internal")," ","_");
    $computerName = replace(beacon_info($1,"computer")," ","_");
    $userName = replace(beacon_info($1,"user")," ","_");
    $cmd = 'python3 /root/cob4.1/cs_dingding_request.py --computername ' . $computerName . " --internalip " . $internalIP . " --username " . $userName;

    println("Sending dingding Notification: " . $cmd);
    exec($cmd);
}

py脚本

py这里就是个简单的发送请求的脚本
接收参数的值，消息类型选择为text，使用isAtAll@所有人，也可以指定用户或手机号，发送给机器人接口
参考文档：钉钉官方机器人开发https://open.dingtalk.com/document/group/custom-robot-access

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
import requests
import json
import argparse

parser = argparse.ArgumentParser(description='Beacon Info')
parser.add_argument('--computername')
parser.add_argument('--internalip')
parser.add_argument('--username')
args = parser.parse_args()
computername = args.computername
internalip = args.internalip
username = args.username

def msg(text):
    json_text = {
        "msgtype": "text",
        "at": {
            "isAtAll": True
        },
        "text": {
            "content": text
        }
    }
    print(requests.post(api_url, json.dumps(json_text), headers=headers).content)


if __name__ == '__main__':

    token ="这里为钉钉bot_token"
    text = "CobaltStrike主机上线提醒+1\n计算机名: "+computername+"\nIP地址: "+internalip+"\n用户名: "+username+"."

    headers = {'Content-Type': 'application/json;charset=utf-8'}
    api_url = "https://oapi.dingtalk.com/robot/send?access_token=%s" % token
    msg(text)

启动cs

1
./teamserver IP地址 密码 .profele(没有可以不用)


启动cna

1
./agscript IP地址 端口 robot(随便写这是用户) 密码 dingding.cna


最终发送给钉钉的聊天群

如果有手表，可以对手表进行设置(以华为为例)
运动健康APP，选择华为手表，点击“消息通知”，选择钉钉 即可

短信上线提醒

思路：和刚才钉钉上线提醒一样，CS cna脚本判断是否有新主机，如果有新主机上线，则调用cna脚本，启动python调用腾讯云短信API发送短信，若没有，则cna的beacon_initial继续判断。

1、申请腾讯云短信服务
腾讯云的短信API每个账户前100条免费。
使用腾讯云的短信API需要一个公众号，服务号，企业号或者小程序。
我这里使用的公众号进行的申请。
(1)按照要求先创建签名

(2)然后创建模板

模板内容如下：

1
2
3
4
5
设备：{1} 
用户名：{2} 
计算机名：{3} 
IP地址：{4} 
已上线

(3)获取SDKAppID 和 AppKey
在短信控制台的应用信息里获取这两个值。

2、接下来配置SDK
pip install qcloudsms_py

准备必要参数

1
2
3
4
5
appid = 14000xxxxx
appkey = "4fcd263d315340bf57xxxxxxxxxxxxxx"
phone_numbers = ["152xxxxxxx", "181xxxxxxxx"] #手机号可以添加多个
template_id = 74039 #模板ID，在自己的控制台能够看到 
sms_sign = '你自己的签名名称'

这里有点坑，本以为不需要sms_sign这个参数，一直报错“签名格式错误或者签名未审批”，最后还是把他加了回来，并且他会验证，不能随便填写。

最终脚本如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
#coding:utf-8

from qcloudsms_py import SmsSingleSender
from qcloudsms_py.httpclient import HTTPError
import argparse

parser = argparse.ArgumentParser(description='Beacon Info')
parser.add_argument('--computername')
parser.add_argument('--internalip')
parser.add_argument('--username')
args = parser.parse_args()
computername = args.computername
internalip = args.internalip[0: 10]
username = args.username

appid = 1400XXXXXX
appkey = "3d3d5XXXXXXXXXXXXXXXXXXXXXXXXXXXX"
phone_numbers = ["180XXXXXXX", "180XXXXXX"] #手机号可以添加多个多个
template_id = XXXXX
sms_sign = 'XXXX公众号'

ssender = SmsSingleSender(appid, appkey)
#单条发送，所以参数phone_numbers[0]，想群发自行更改成“SmsMultiSender”
params = ["win", username, computername, internalip]  
#固定win，因为在第一行不换行，不咋好看
try:
    result = ssender.send_with_param(86, phone_numbers[0], template_id, params, sign=sms_sign)
except HTTPError as e:
    response = {'result': 1000, 'errmsg': "网络异常发送失败"}
except Exception as e:
    print(e)

print(result)

还有一个坑，IP发不过来，模板参数长度限制，每个参数最大只能12
而一个IP占用14。所以我这里IP是去掉了最后3位。(有点无奈)
如果想要去掉长度限制，需申请企业服务。

最后cna脚本则直接将cs_dingding_request.py改为短信的py脚本即可
看了一眼，阿里云也可以用短信服务，不过要花钱。总体来说算是个思路吧。

参考文档
https://cloud.tencent.com/document/product/382/37745

最终效果如下：

?url=
小tips：
以小米手机为例，如果短信被拦截，可以在"设置"–>“骚扰拦截”–>“短信拦截"中设置"关键词白名单”，以防短信被吃
http://0.0.0.0:3000/search?url=http://10.244.80.2:8080/

漂亮猫

我会有猫的！！！