performing-red-team-with-covenant

使用 Covenant C2 执行红队行动

概述

Covenant 是一个面向红队人员的协作式 .NET C2 框架，提供由 Swagger 文档说明的 REST API，用于管理监听器、启动器、grunt（Agent）和任务。本技能介绍如何通过其 API 自动化执行 Covenant 操作，以用于经授权的红队演练：创建 HTTP/HTTPS 监听器、生成二进制和 PowerShell 启动器、部署 grunt、在已入侵主机上执行任务，以及跟踪横向移动。

适用场景

• 开展涉及使用 Covenant 执行红队行动的安全评估时
• 遵循相关安全事件的事件响应流程时
• 执行定期安全测试或审计活动时
• 通过动手测试验证安全控制时

先决条件

• 已部署 Covenant C2 服务（Docker 或 .NET 6）
• Python 3.9+ 和 requests 库
• Covenant API 令牌（通过 /api/users/login 获取）
• 红队演练的书面授权
• 隔离的实验室或经授权的目标环境

步骤

步骤 1：向 Covenant API 进行身份验证

将凭据提交到 /api/users/login 端点，以获取 JWT 令牌。

步骤 2：创建监听器

配置 HTTP 或 HTTPS 监听器，并设置回调 URL 和绑定地址。

步骤 3：生成启动器

创建与监听器关联的二进制、PowerShell 或 MSBuild 启动器，以便部署 grunt。

步骤 4：部署和管理 grunt

监控 grunt 回连、执行任务，并收集已入侵主机的输出。

步骤 5：记录行动

生成行动报告，记录所有操作、时间戳和发现。

预期输出

包含监听器配置、活动 grunt、已执行任务及任务输出的 JSON 报告，用于演练文档记录。