代码全自主开发完美适配主流插件绕过内存+部分行为双查杀| GoCobaltStrike 2.6.1 正式发布!

点击上方蓝字关注我们

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！

工具介绍

经历2个月进行优化2.6.1版本已经是一个非常稳定的版本，后续将会优化web端的使用体验。GoCobaltStrike 2.6.1版本发布在 2.5版本的基础上，2.5版本进行了以下重要更新与优化：获取方式：纷传内部(文末二维码加入)获取。

修复：深度优化GoCobaltStrike插件功能，现在完美适配主流CobaltStrike可以正常使用插件功能。
修复：修复文件浏览页面文件创建时间显示不对问题
修复：下载文件后从服务端同步文件0kb问题
修复：所有页面均可使用鼠标滚轴进行滚动
修复：命令页面以及其他就均可完美复制文字，不会二次截断导致复制不全
修复：修复其他命令的一些参数获取问题
修复：go后端长时间运行占用内存过大问题
不再强制启动Web端，通过 -nowebui 命令来关闭Web图形化页面端
优化文件上传的速率，突破原来cobaltstrike的速率限制，现在上传文件彻底取决于网速，最高可上传50Mb大小的文件
免杀能力提升：bin文件静态免杀能力过火绒、defender、360、卡巴斯基等杀软静态扫描查杀，同时测试在未开启sleepmask的情况下，可以绕过火绒、defefnder、卡巴斯基（标准版以及EDR）的内存查杀和defender的行为查杀、卡巴斯基的部分行为查杀。测试常规命令在火绒、defender的情况，无感执行命令。在卡巴斯基上执行shell、run、execute命令除whomai以外其他不同命令均可正常执行！

2.5版本是一次里程碑式的重构，标志着项目实现了完全自主开发：

全界面汉化：现已支持完整中文界面，并可在首页一键切换中/英文显示。
代理方式升级：新增 HTTP 代理支持，并将 SOCKS 代理升级为基于原生插件独立会话的转发方式，支持 TCP / UDP 数据转发，数据通道不再依赖 Beacon 的 Sleep 轮询，代理速度与稳定性显著提升；同时，理论上也可通过该代理端口配合工具进行内网访问与扫描。
免杀能力提升：新增bin文件静态免杀能力过火绒、defender、360、卡巴斯基等杀软静态扫描查杀，同时测试在未开启sleepmask的情况下，可以绕过火绒、defefnder的内存查杀以及defender的行为查杀。测试常规命令在火绒、defender的情况，无感执行命令！
全新客户端架构：采用 Wails 构建了全新的桌面客户端，代码完全自主编写，无任何后门或隐藏模块，所有代码均由项目负责人独立完成。
服务端重构：使用 Go 语言对服务端进行了彻底重写，基于 CobaltStrike 4.5 源码开发，形成了 Web前端 + Go服务后端 + Wails桌面客户端
核心能力增强：显著提升了免杀与防探测能力。
新增重要功能：支持 Linux 与 Mac 系统上线，并集成了机器人上线通知功能。这些功能已内置至服务端，用户只需在客户端简单配置，即可生成一体化的二进制程序。

衷心感谢各位师傅在测试过程中提交的 Bug 反馈与宝贵建议！

Web UI 界面

现代化交互：提供全新的 Web 图形化操作界面，操作直观，无需依赖传统 Java 客户端

跨平台访问：可通过主流浏览器直接访问与管理，实现随时随地协同作战。

Wails客户端

现代化交互：无需依赖传统的 Java 客户端即可实现下载与运行，并充分发挥 Go 语言的优势，显著降低了内存占用，使页面运行更加流畅，同时提供了更美观的 UI 界面。支持windows、linux、mac客户端，全平台支持！

mac端：

windows端

更新功能介绍
1.通过-nowebui 命令关闭web图形化页面端，这样就可以在不需要web端的时候直接关闭它，不用再通过nginx复杂配置了。wails客户端不受影响。
2.上传文件速率进一步优化，突破原来cobaltstrike的条件限制，现在仅取决于网速，可以上传50Mb大小的文件。速度很快。

3.全界面汉化：现已支持完整中文界面，默认中文模式，但是首页中英文切换按钮，一键切换中/英文显示。
中文页面：

英文页面：

4.代理方式升级：新增 HTTP 代理支持，并将 SOCKS 代理升级为基于原生插件独立会话的转发方式，支持 TCP / UDP 数据转发，数据通道不再依赖 Beacon 的 Sleep 轮询，代理速度与稳定性显著提升；同时，理论上也可通过该代理端口配合工具进行内网访问与扫描。访问速度如视频演示，速度和vshell比起来不分伯仲，甚至更优！

已关注

关注

重播分享赞

视频详情

5.免杀能力提升：bin文件静态免杀能力过火绒、defender、360、卡巴斯基等杀软静态扫描查杀，同时测试在未开启sleepmask的情况下，可以绕过火绒、defefnder、卡巴斯基（标准版以及EDR）的内存查杀和defender的行为查杀、卡巴斯基的部分行为查杀。测试常规命令在火绒、defender的情况，无感执行命令。在卡巴斯基上执行shell、run、execute命令除whomai以外其他不同命令均可正常执行！效果如下，视频比图片效果更好！

火绒以及defender演示：

已关注

关注

重播分享赞

视频详情

卡巴斯基演示：

已关注

关注

重播分享赞

视频详情

功能特性概述

跨平台支持

全平台兼容：支持 Windows、Linux、MacOS 系统一键上线
客户端环境：提供 Windows 、Linux、MacOS 生成上线
代理功能：支持 Windows、Linux、Mac 全平台 SOCKS5 代理

通信与上线机制

多协议支持：支持 HTTP、HTTPS、DNS、ExtC2、SMB、TCP 及 TCP 转发等多种上线方式
SSH 增强：改进 SSH Agent，支持账号密码或密钥方式上线最新 Linux 系统
安全防护：新增 IP 黑名单功能，支持主动拉黑或自动屏蔽异常请求

安全与隐蔽性

服务端重构：采用 Go 语言完全重构，彻底移除 Java 相关特征，防止平台测绘
配置保护：修改 Beacon Config 结构体，采用双重异或密钥，防止自动化工具扫描解密
特征消除：修复 BeaconEye 堆内存扫描漏洞，去除 Java 服务端所有验证暗桩
端口保护：修复 CheckSum8 导致的外网侦听端口被测绘发现的问题

功能增强

屏幕控制：支持高速远程屏幕控制，可替代 VNC 远程桌面
交互式 Shell：支持 Windows、Linux 交互式命令行操作
文件管理：完美适配 Linux 文件浏览，修复中文乱码和重复目录问题
内存执行：支持内存执行 Fscan 工具，采用挂载方式实现一次上传多次调用
内存运行：支持内存线程加载C程序，内存线程加载go程序。

CobaltStrike 兼容性

最新特性：支持 CS 4.9 SleepMaskKit，每次 sleep 使用不同随机密钥
BOF 增强：增加 BOF 函数解析，支持 .xdata、.pdata、.bbs 区段，动态调用函数提升至 64 个
架构优化：将 Java 客户端生成功能移植到 Go 服务端，为 WebCobaltStrike 2.0 和 Go+Wails 重构客户端做准备

用户体验

通知提醒：支持微信、钉钉、飞书机器人上线提醒
历史命令：记录历史beacon命令执行结果，防止数据丢失。
全面汉化：将客户端、web端全面汉化处理，更适合中文选手。
权限管理：web控制台新增http基础认证，防止平台测绘以及暴力破解登录尝试。

界面优化：提供更加细腻的客户端汉化水准和 IP 地理位置显示功能
云服务检测：经过国外服务器测试启动go程序服务端未被云厂商封禁

技术优势

性能优化：修复数据位置和代码位置相差大于 4G 的情况，与 CobaltStrike 4.9 保持一致
兼容性：BOF 函数与 CobaltStrike 4.9.1 完全一致
稳定性：经过实际测试验证，确保功能稳定可靠
2.6.1页面展示
1.将wails客户端、web端登录端口统一为50050端口，采用和java客户端一样的登录方式，取消去验证码防暴力功能、更简洁、更方便。
```
http://127.0.0.1:50050
```

2.登录成功后首页页面

3.监听器管理页面

4.payload生成页面，支持windows stager stageless生成以及linux生成和mac生成。

5.支持windows、linux、mac web投递功能

6.web控制台新增http基础认证，防止平台测绘以及暴力破解登录尝试。vshell同款功能。

7.支持图形化上线通知修改功能，将逻辑直接写入服务端内部，在客户端显示beacon上线前，就能收到机器人推送的上线通知消息。

8.支持CobaltStrike cna脚本扩展功能，只需要将脚本文件夹放到./plugins/scripts/目录下即可，然后从服务端导入确认即可。web端也能正确使用cobaltstrike插件脚本

9.凭据管理页面

10.beacon会话管理页面

11.beoan交互页面，可以执行各种命令，还有图形化的常用命令按钮

12.交互式shell管理页面

13.远程屏幕页面

14.文件浏览器页面

15.屏幕截图页面

16.socks代理管理页面

修改后的socks代理，不走http/s协议，采用tcp协议走插件端口，实现长连接，代理能力大幅度提升，和vshell的scoks代理，不分伯仲甚至更强！

17.进程浏览器页面

18.登录日志页面

19.历史任务功能

由于篇幅原因，更多页面就不一一展示了，请自行体验！

wails客户端功能演示

1.登录页面

2.登录成功首页

3.支持CobaltStirke插件加载功能

4.支持windows、Linix、Mac一句话上线功能，这样可以支持某些命令执行漏洞上线CobatStrike的需求。

2.支持微信、钉钉、飞书机器人上线提醒。通过配置config/config.ini相关配置信息即可达到Beacon上线就会触发机器人发送消息。

3.新增inline-cpp和inline-go命令分别支持内存线程加载C程序，内存线程

加载go程序。达到更好的免杀效果，后渗透阶段文件不落地，绕过静态查杀。

4.修改CobaltStirke4.5源码使之适配 CS 4.9 SleepMaskKit，每次 sleep 使用不同随机密钥，提供内存免杀效果。

5.增加 BOF 函数解析，支持 .xdata、.pdata、.bbs 区段，动态调用函数提升至 64 个，同时BOF 函数与 CobaltStrike 4.9.1 完全一致。这样可以适配使用市面上大多数的CobaltStrike插件。CS4.9 BOF加载原理如下:

6.新增高速屏幕功能替代VNC远程屏幕.cobaltstrike原版的vnc远程桌面功能过于老旧，无论是共功能性、兼容性方面来说都有些过时。因此使用高速屏幕代替VNC远程桌面。采用异步线程执行的方式，不会影响beacon的sleepmask功能。支持x64以及x86的环境。

7.新增交互式Shell功能。由于非交互式shell在某些环境下存在短板以及弊端，因此本次新增交互式Shell功能，采用异步线程执行的方式，不会影响beacon的sleepmask功能。支持x64和x86以及Linux amd、arm的环境。

8.新增内存执行Fscan功能，采用挂载的方式，无需每次执行都需要上传Fscan。支持x64以及x86的环境。

fscan Usage:  fscanload  # 加载 DLL（首次使用）  fscan -h 192.168.1.0/24              # 执行扫描  fscan -h 192.168.1.0/24 -p 1-65535   # 全端口扫描  fscanstop  # 停止扫描

9.新增linux amd32 arm32上线功能。现在支持linux amd32、amd64、arm32、arm64上线的方式，只需要在主页面选择Linux生成，然后按照之前Windows一样步骤进行操作即可。

支持进程预览

文件预览以及图形化按钮功能均已修复。

执行linux系统命令

10.全平台实现socks5代理功能，支持Socks5认证模式。以windows为例，linux、mac同时支持Socks代理。同时修改代理图形化显示界面，支持显示账号、密码等信息。

11.增加IP位置显示功能。

12.适配支持http、https、dns、extc2、smb、tcp、tcp转发协议上线，例如https取消系统默认ssl证书，利用go语言优势采用随机生成证书的方式，来防止捕捉特征，同时也支持域前置功能，只需在默认profile中指定证书相关信息即可。

# 支持 Nginx (.pem + .key)  Apache (.crt + .key) 格式证书 直接指定文件即可。#https-certificate {#      set certfile "/opt/cobaltstrike/certs/yourdomain.pem | /opt/cobaltstrike/certs/yourdomain.crt";#      set keyfile  "/opt/cobaltstrike/certs/yourdomain.key";#  }