cobaltstrike免杀过360和火绒-安全小天地

在免杀之前需要自己处理一下cobaltstrike的相关特征，和更新一下证书。不然虽然文件免杀了，可是上线的时候会有特征，会被火绒拦截。

具体参考以下文章
https://www.wangan.com/articles/1144
https://paper.seebug.org/1349/
https://cloud.tencent.com/developer/article/1688045

1、生成payload
首先我们先来生成一个32位的payload，这里我们的监听器使用http的方式，因为证书我没搞，所以就不用https的了.

2、编码
之后我们需要把这个shellcode转换为base64编码的格式，运行”cat payload.bin | base64 -w 0″;这样就可以得到编码后的shellcode。

3、js加载shellcode
我们下面就要用到一个js加载cs的shellcode的代码了，相关代码可以来这里下载: https://github.com/shenligang123/js-shellcode，我们需要利用的是CACTUSTORCH.js这个文件。
将生成的shellcode放在code参数里就可以了。

现在这种方式已经被查杀，我们再次利用js加密来实现免杀。
来这个网站https://www.sojson.com/jsobfuscator.html这里加密就行了。

4、运行上线试试

文字来源于- 火线 Zone-云安全社区，安全小天地只做文章分享，如有侵权，请联系站长删除

安全小天地的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。安全小天地拥有对此文章的修改、删除和解释权限，如转载或传播此文章，需保证文章的完整性，未经允许，禁止转载！本文所提供的工具仅用于学习，禁止用于其他，请在24小时内删除工具文件！！！访问本博客请务必遵守有关互联网的相关法律、规定与规则。一旦您访问本博客，即表示您已经知晓并接受了此声明通告。详情见本站的“免责声明”如果有侵权之处请第一时间联系我们删除。敬请谅解!E-mail：anquanclub@foxmail.com

THE END