2026-11-06 03:01:50 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Cobalt Strike 免费平替 Adaptix C2 启动：配置命令与控制监听器

aeverj
aeverj

红队工坊

2026年11月5日 10:15
北京

去阅读

原文标题： Adaptix C2 Architecture: Configuring Command & Control Listeners - Hackers Arise

在这篇文章中，我们将探索命令与控制（Command and Control，C2）网络的骨干：监听器（listener）。

欢迎回来，各位未来的网络战士！

这是 AdaptixC2 系列的第二篇文章。[上一期] AdaptixC2 —— Cobalt Strike 免费平替？[1] 我们讲了如何安装和完成初始设置。这一次，我们要深入聊聊监听器。监听器是 C2 框架中负责等待失陷主机回连、并维持后续通信的部分。搭建监听器并不容易，也没有万能方案，所以[红队队员] https://hackersarise.thinkific.com/courses/red-team-operator-part-I[2] 需要弄清楚什么场景该用什么协议，才能智取现代化的防御体系。因此，本文将介绍如何在 AdaptixC2 中创建监听器，以及它支持的各种类型。我们开始吧！

■生成与配置监听器

要进入监听器界面，点击带有耳机图标的 Adaptix 标签页。

进入 Listeners 标签页后，在控制台面板上点击右键，选择“Create”（创建）。你会看到弹出一个这样的窗口：

监听器非常重要——没有它们，一切都无从谈起。它们是你在红队演练中达成目标的第一步。下面快速过一遍每个配置项的作用：

Name（名称） 只是监听器的一个标签。

Profile（配置档） 让你可以选择或保存一套设置配置档，这样每次都不必从头输入所有内容。

Protocol（协议） 决定监听器如何建立连接，目前显示为“any”（任意），但常见选项包括 HTTP、DNS、SMB 和 TCP 等。代理（也就是“信标”，beacon）就是通过这些协议与 C2 服务器通信的。

Config（配置） 用于选择监听器模块的类型。如果你看到“BeaconDNS”，就意味着信标流量将走 DNS。Adaptix 还提供其他类型，比如 Beacon HTTP、Beacon SMB、Beacon TCP 和 Gopher TCP。

Host & Port (Bind)（主机与端口，绑定） 用于设置监听器在 C2 服务器上绑定的 IP 地址和端口。默认通常是 0.0.0.0，但你也可以选择某个具体的网卡。

Authoritative Domain(s)（权威域名） 指你的服务器“说了算”的那些域名。失陷主机（信标）会对这个域名下的子域名发起 DNS 查询，而由于 C2 服务器就是主域名服务器（nameserver），这些查询都会指向它。

Max Payload (bytes)（最大载荷，字节） 表示单个 DNS 请求或响应中最多能塞进多大的数据块。

DNS TTL (seconds)（DNS 生存时间，秒） 设置 DNS 应答在缓存中停留多久，也就是告诉缓存该把这个答案记住多长时间。

Encryption Key（加密密钥） 用于加密信标的流量或载荷。

Enable Burst Mode（启用突发模式） 开启后，信标会以突发方式连发多个快速查询，而不是一个一个慢慢来，这可以加快数据外传的速度。

Burst Sleep (ms)（突发间隔，毫秒） 是信标在一场突发中每次查询之间的暂停时长。

Burst Jitter (%)（突发抖动，%） 为查询之间的等待时间加入随机性，让流量不至于太有规律，有助于躲过基于时序特征的检测。

填好这些字段后，点击 Create。

接下来看看更常用的 HTTP 监听器。它的配置属性比其他类型多得多，界面长下面这样。

在主设置里，我们又多了一些新选项可以折腾：

Callback addresses（回连地址） 是嵌入信标载荷中的外部 IP 或域名（带端口），告诉失陷主机该往哪里回连。它可以和绑定地址不同，尤其是在使用重定向器（redirector）的时候。重定向器非常好用，Adaptix 允许你填入多组 IP 和端口的组合。当失陷主机尝试连接时，它会先到重定向器，由重定向器判断是否允许它访问 C2 服务器。关于重定向器的更多内容，可以阅读 Major Smouk 的[文章] https://hackers-arise.com/command-control-series-part-iii-installing-your-redirector/。[3]

出于演示目的，我们暂时不用重定向器，所以直接把本机 IP 填进这个字段即可。

Method（方法） 用于选择信标向服务器发送请求/回连（check-in）时使用的 HTTP 方法（GET/POST）。

URIs（URI 列表） 用于列出信标发起请求时随机挑选的 URL 路径，比如 /api/v1/status 或 /updates/check.php。

User-Agents（UA 列表） 让信标在 HTTP 头中轮换使用不同浏览器的 User-Agent 字符串。

Heartbeat Header（心跳头） 是一个自定义 HTTP 头（比如 X-Beacon-Id），每次回连时携带信标的标识符/会话令牌（token），帮助服务器识别正在连过来的是哪台失陷主机。

Use SSL (HTTPS)（使用 SSL） 是一个开关，决定监听器是否用 TLS 封装流量。打开之后，你可以提供自己的证书/私钥（比如模拟真实网站的证书），也可以让 Adaptix 自动生成一张自签名证书。

此外还有几个额外的设置标签页：

HTTP Headers（HTTP 头） 让你添加自定义的请求/响应头，进一步伪装成正常流量，或者用来隐藏数据。

Page Error（错误页面） 配置当普通访客或扫描器访问到监听器时，服务器展示什么内容。

Page Payload（载荷页面） 允许你为特定路径设置一个看起来正经的网页/响应，常用于托管初始访问所需的 stager（分段加载器）/载荷，或者让服务器看起来像个人畜无害的网站。

HTTP 监听器的配置就介绍到这里。现在，让我们进入 BeaconSMB！

这一部分，我们需要关注管道名（pipe name）。管道名就是 Windows 命名管道（named pipe）的名字。监听器会创建它并等待连接。Windows 上的命名管道充当通信通道，名字形如 \\.\pipe\somename。当失陷主机想要连接时，SMB 信标会按名字找到这条管道，从而建立 C2 通道。关于 Beacon SMB 的介绍到此结束。

接下来看 Beacon TCP。

上面的截图展示了如何配置 BeaconTCP 监听器，非常简单，只需要填三个字段。

第一项是绑定端口（bind port），即监听器在失陷主机上打开、用作中继的 TCP 端口。

第二项是前置数据（prepend data）。这是一组字节（比如 \x12\xab），会被添加到每一段 TCP 通信的开头。这一招纯粹是为了流量混淆：以特定字节模式开头后，TCP 流看上去就不那么像典型的 C2 流量了。它可以模拟某个已知协议的握手或头部，让网络监控工具更难把信标标记为可疑。

最后一项是加密密钥（encryption key），作用与其他监听器中的相同。

最后，别忘了还有 Gopher TCP 监听器。

很多选项我们都见过了，这里只说说新面孔：

TCP banner（TCP 横幅） 是一段文本，在信标握手发生之前发送给连接到该端口的任何对象。它目前显示的是“AdaptixC2 server”，但在实战场景中，你会想把它换成更无害的内容，或者某个像是正经服务会发出的东西。

错误应答（error answer） 是连接失败或被拒绝时返回的内容。

这里的大头是加入 mTLS（双向 TLS）。双向 TLS（mutual TLS）意味着服务器和正在连接的信标要互相用证书证明自己的身份，而不像普通 TLS 那样只有服务器亮出身份。这是一次重大的安全增强：只有持有正确客户端证书的信标才能连接监听器。这样一来，即使有人摸到了 C2 的地址和端口，没有证书也无法与它交互，更别提冒充信标了。配置项中包括 CA 证书、服务器私钥、服务器证书、客户端私钥和客户端证书等字段，用于启用双向认证。

把各种监听器都配好之后，我们会看到下面这幅画面。

我们要学会区分两类监听器：内部监听器和外部监听器。外部监听器连接公网，是第一台被攻陷设备穿越防火墙回连的目标。它通常使用 HTTP、HTTPS 或 DNS 之类的协议，因为这些协议往往被允许出站，而且能混进正常流量。有时它还会藏在重定向器或 CDN（内容分发网络）后面，以掩盖真正控制服务器的 IP 地址。

反过来，内部监听器是你进入网络之后使用的。它帮助你在通常无法上网的失陷设备之间进行横向移动（lateral movement）。它依赖仅限局域网（LAN）的协议，比如 SMB 命名管道或裸 TCP，让各信标之间互相通信，并把流量经由第一台被攻陷的设备回传到外部监听器。