强哥带你学网安07-cobalt strike

很多人学 Cobalt Strike 卡在同一个地方：监听器建好了、Beacon 也上线了，但接下来该干什么，脑子里没有下一步。命令背了一堆，真到一台被控主机面前，反而不知道先看什么、后动什么。这门课针对的就是这个断层——不是从零讲渗透，而是把 CS 这个后渗透阶段的主力工具，拆成能一步步照着做的动作。

先确认自己缺的是哪一块

如果你只见过 CS 的界面截图，没独立配过一次监听器，那缺的是环境与配置这一层。Team Server 怎么起、profile 怎么改、Listener 的几种类型分别对应什么网络位置，这些不清楚，后面所有操作都是空中楼阁。

如果你已经能让 Beacon 上线，但只会敲几个基础命令，缺的是对 Beacon 本身的理解。Beacon 不是一个远程 shell，它有睡眠周期、有交互模式与非交互模式的区别、有各种注入与提权的手段，这些决定了你在目标机器上能留下多少痕迹、能撑多久。

如果你能上线也能操作，但一遇到内网多台机器就停住，缺的是横向移动这一环。凭据怎么抓、票据怎么用、SMB Beacon 和 TCP Beacon 各自适合什么场景，是内网推进的核心问题。

还有一种情况：你手上有 Metasploit 的会话，也知道 CS 好用，但两者之间怎么配合一直没搞明白。这门课里专门有一块讲 CS 与 MSF 的联动，这条链路打通之后，你手上的工具才算真正串起来。

课程围绕哪些动作展开

整门课的主线是围绕 Beacon 的生命周期走的，大致可以分成几段：

• 环境与配置：Team Server 的搭建、客户端连接、Listener 的建立与 profile 的调整。
• 上线姿势与原理：不同上线方式背后的机制差异，而不是只记操作步骤。
• Beacon 指令与功能：常用指令的实际用途，以及注入、提权、凭据获取这类动作的执行逻辑。
• 横向移动：在内网里从一个据点扩散到其他主机的思路与手段。
• 联动与扩展：CS 与 Metasploit 的互相调用，以及插件的加载与使用。
• 免杀基础：木马为什么会被查杀，以及常见的规避思路。

注意最后一块。免杀不是背几个工具就能解决的，它随杀软更新不断变化。这门课能给的是思路框架，具体手法需要你自己持续跟进。

建议的练习方式

这门课不能只看。CS 的很多细节——比如 Beacon 在不同睡眠设置下的行为、凭据在不同权限下能抓到什么——必须自己在实验环境里跑一遍才有体感。建议准备一套隔离的靶机环境，每看完一段就自己复现一次，尤其是横向移动部分，单机环境练不出效果，尽量搭一个小型内网。

另外，把每次操作的命令和结果记下来。CS 的命令行交互性强，光靠记忆很容易在关键时刻卡壳，一份自己的操作笔记比任何速查表都有用。

学完应该能回答的问题

• Listener 有哪几种类型，分别在什么网络条件下使用？
• Beacon 的交互模式和非交互模式，实际操作中有什么区别？
• 抓取凭据有哪几种途径，各自的前提条件是什么？
• 横向移动时，SMB Beacon 和 TCP Beacon 该怎么选？
• CS 和 Metasploit 之间怎么互相传递会话？
• 一个木马被查杀，你会从哪几个方向去排查和调整？

如果这些问题你现在答不上来，或者只能答个大概，那这门课值得花时间。如果已经能清楚地讲出来，那可以跳过，去找更靠后的内容。缺什么补什么，不用从头再来一遍。