cobalt-strike

Cobalt Strike（CS）是商业化红队 C2 框架，采用 C/S 架构实现多人协作渗透，核心优势为团队协作、Beacon 隐蔽通信（HTTP/HTTPS/DNS/SMB）与完整后渗透链。

用途：用于团队协作渗透测试，覆盖 TeamServer 部署、Listener 与 Payload 配置、Beacon 会话管理、后渗透操作（提权、凭据窃取、横向移动）及 Aggressor 脚本编写。

主要能力：

1. TeamServer 与 Listener：基础启动为 ./teamserver <公网IP> <密码>，可附带 Malleable C2 Profile 路径，并用 ./c2lint <profile> 验证。客户端 Linux 用 ./start.sh、Windows 用 start.bat，连接需 IP、端口（默认 50050）与密码。支持 HTTP/HTTPS/DNS/SMB/SSH/TCP 及 Foreign Listener，建议用重定向器（如 socat 转发 80/443）保护真实 IP。
2. Payload：分 Staged 与 Stageless，格式包括 HTML Application、MS Office Macro、Payload Generator、Windows Executable 及 Stageless 版本，可经钓鱼、Web 交付或横向投递。
3. Beacon 管理：interact 进入控制台，sleep 控制回连与抖动，spawn/inject 派生会话，socks 等实现 Pivoting。
4. 后渗透：提权（elevate、getsystem）、凭据获取（hashdump、logonpasswords、dcsync）、横向移动（psexec、psexec_psh、winrm、wmi 及手动服务/计划任务）。
5. OPSEC：Malleable C2 Profile、spawnto、ppid 欺骗，以及 Arsenal Kit 免杀策略。

适用场景：团队协作红队行动、多目标与长期渗透、内网横向与域内枚举。

限制：资料标注 TeamServer 为 Linux only；Beacon 类型与隧道依赖网络可达性及权限；Kit 只能降低特定检测面，不能替代流量、进程链和权限 OPSEC；生产环境必须指定 Malleable C2 Profile，否则默认流量特征易被安全产品标记。文档未提供具体授权要求、价格与合规说明。