Powershell Empire的使用
Empire
- Empire
- 简介
- 使用方法
- 设置监听
- 生成木马
- DLL木马
- launcher
- launcher_vbs木马
- launcher_bat 木马
- Macro木马
- Ducky
- 连接主机
- 信息收集
- 屏幕截图
- 键盘记录
- 剪贴板记录
- 查找共享
- 收集目标主机信息
- ARP扫描
- DNS信息获取
- 查找域管登陆服务器IP
- 本地管理组访问模块
- 提权
- Bypass UAC
- bypassuac_wscript
- PowerUp
- AllChecks模块
- GPP
- 横向渗透
- 会话注入
- Invoke-PsExec
- Invoke-WMI
- PowerShell Remoting
- 后门
- 权限持久性劫持shift后门
- 注册表诸如后门
- 计划任务获取系统权限
- Empire反弹回Metasploit
Empire
简介
Empire是针对Windows平台的，使用PowerShell脚本作为攻击载荷的渗透测试攻击框架，具有stager生成提权、权限维持的功能。Empire无需powershell.exe就能运行power shell代理的功能，有许多后期漏洞利用模块。类似于msf，基于power shell的远程控制木马。
可以在GitHub上下载
安装过程不过多赘述。
打开Empire，有285个模块，0个监听，0个代理。
使用方法
设置监听
Empire的使用方法与msf的方法相同，先设置监听，生成木马，然后监听反弹代理。
输入Listeners进入监听页面，uselistener设置监听模式，共有7种模式
- dbx
- http
- http_foreign
- http_hop
- http_mapi
- http_com
- meterpreter
我们使用http方式 uselistener http，然后设置响应参数。Name与Host。execute执行开始监听。
回到listeners界面，使用list命令可以看到当前的会话
使用kill Name 可以删除监听。
生成木马
这一阶段类似于msf中生成payload一样。usetager Tab建查看模块
multi通用模块，osx是mac的模块。
DLL木马
命令usestager windows/dll，info查看详细参数
设置Listener execute执行，tmp下生成了launcher.dll文件，并在目标机中运行就会反弹代理。
launcher
这个模块用于生成shellcode，使用方法launcher.生成base64编码的代码。在目标机power shell中执行就会获得权限。并且杀毒软件并没有提示。
使用agents可以看到我们的主机已经上线了。可以使用rename进行改名。
launcher_vbs木马
使用usetager windows/launcher_vbs,输入info查看我们需要设置的参数。
我们需要设置Listener set Listener clay execute执行。tmp目录下生成了launcher.vbs文件。
目标机中成功执行后，我们看到反弹回一个会话，成功上线。
launcher_bat 木马
与上面方法相同，同样使用usestager模块。usestager windows/launcher_bat，info查看需要设置的参数。设置 Listener，execute执行。同样在tmp目录下生成bat文件。
在目标机中执行，成功反弹会话。
我们可以将批处理文件插入到文档中，这样不会引起注意。这里使用的wps，插入-对象 将我们的批处理文件加入进去，建议更改图标增加迷惑性。
修改文件名，一旦文档在目标机中执行，我们就会得到主机的权限（360会提示发现宏病毒）。
Macro木马
设置Macro木马 usestager windwos/macro,info查看详细参数。set Listener clay execute执行。tmp目录下生成宏文件。
将生成的宏文件加入到文档中，wps中打开开发工具，选择宏，创建宏点击创建。
在VB编辑中，将原来的代码删除，将生成的宏中的代码复制进去，并另存为doc文件。
在目标机中执行了这个文档，就会获得主机的权限。文档打开后，有安全警告，应与社工结合使用，诱导点击启用。（360提示发现宏病毒）
Ducky
Empire中也支持小黄鸭反弹代理。usestager windows/ducky info查看详细参数。
set Listener clay execute，将生成代码烧录小黄鸭中。
连接主机
agents查看已连接的主机，带*指已提权的主机。
连接主机命令intercat Name。help可以查看帮助。
命令非常强大，兼容Windows Linux msf 很多常用的命令。
使用Linux命令
help agentcmds查看可以使用的命令。
使用一些cmd命令时加上shell。
empire内置猕猴桃可以，输入mimikatz命令可以使用。
creds可以过滤获取的用户密码。
抓取的密码比较多时，可以使用hash/plaintext进行排列。creds export 目录可以保存抓取的信息。
信息收集
屏幕截图
使用模块usemodule collection/screenshot
图片保存在empire目录下的downloads中。
键盘记录
使用模块 usemodule collection/keylogger
downloads下生成agent.log文件
jobs查看记录，如果要停止键盘记录使用 jobs kill job_name。
剪贴板记录
使用模块 usemodule/clipboard_monitor info查看详细参数。
目标机中随意复制一段，我们就可以看到结果了
停止剪贴板记录和上面的方法相同。
查找共享
使用模块 usemodule situational_awareness/network/powerview/share_finder 将列出域内所有的共享。
收集目标主机信息
模块 usemodule situational_awareness/host/winenum 查看本机用户，域成员、最后密码设置时间、剪贴板内容、系统基本信息、网络适配器信息、共享信息。
situational_awareness/host/computerdetails 模块几乎列举系统中所有有用的信息，主机事件日志、应用程序控制策略日志、rdp登录信息。
ARP扫描
模块 usemodule situational_awareness/network/arpscan 设置range扫描的网段。
DNS信息获取
内网渗透中分析内网结构非常重要。使用模块 situational_awareness/network/reverse_dns。设置range参数。
situational_awareness/host/dnsserver显示当前DNS服务器的IP地址。
查找域管登陆服务器IP
模块 situational_awareness/network/powerview/user_hunter.这个模块用来查找域管登陆的机器。
本地管理组访问模块
模块 situation_awareness/network/powerview/find_localadmin_access，不需要过多的设置。
提权
Bypass UAC
usemodule privesc/bypassuac 设置Listener 运行看到一个心得反弹。
输入agents 可以看到多了一个带*的，是我们刚才提权成功反弹的。
bypassuac_wscript
模块 privesc/pypassuac_wscript
原理使用c:\windows\wscript.exe执行payload 绕过UAC实现管理员权限执行payload。
PowerUp
Empire内置powerup部分功能，用于提权。主要有windows错误系统配置漏洞、windows services漏洞、alwaysinstallelevated漏洞。usemodule privesc/powerup 查看powerup列表。
AllChecks模块
查找系统漏洞，与powerup中Invoke-AllChecks一样。
模块 privesc/powerup/allchecks
还有可以尝试Bypass UAC来提权。
GPP
在域里通常启用组策略首选项来更改本地密码。GPP采用AES 256加密。
模块 privesc/gpp
横向渗透
获取服务器权限后，使用内置的Mimikatz获取系统密码。想要横向移动，要先窃取身份，使用pth ID
窃取身份。
使用steal_token pid 窃取身份令牌
输入ps查看是否有域用户的进程
这里存在name 为cmd pid 为 1132的进程。
访问Hacker-PC，成功访问
revtoself命令可以恢复令牌权限
会话注入
模块 mangement/psinject进行线程注入，获取权限。设置Listener和proc ID两个参数。
Invoke-PsExec
使用该模块的前提时已经获得本地管理员权限，甚至域管理员用户，然后进一步持续渗透整个内网。
模块 lateral_movement/invoke_psexec info查看设置参数。
Invoke-WMI
比PsExec安全，所有的windows都启用了该服务。wmiexec攻击时，系统默认不会在日志中记录这些操作，具有极高的隐蔽性。
模块 lateral_movement/invoke_wmi info查看设置参数。
设置计算机名，监听。执行，可以看到反弹成功。
PowerShell Remoting
PowerShell Remoting是power shell的远程管理功能，开启windwos远程服务winRM会监听5985端口，目标主机启动了PowerShell Remoting可以使用 lateral_movement/invoke_psremoting模块进行横向渗透。
后门
权限持久性劫持shift后门
模块 lateral_movement/invoke_wmi_debuggerinfo 需要设置 Listener computername.
运行后目标主机远程登录窗口按五次SHIFT键即可触发后门。
sethc.exe可以替换以下
- Uitlman.exe (win+u)
- osk.exe (屏幕上的键盘 win+u)
- Narrator.exe (启动讲述人 win+u)
- Magnify (放大镜 win+u)
注册表诸如后门
模块 persistence/userland/registry,运行后会在目标主机启动项中添加命令。设置参数 Listener regpath。
当目标机登陆系统时就会运行。服务端反弹成功。
计划任务获取系统权限
模块 persistence/elevated/schtasks。设置DailyTime Listener两个参数。设置具体的时间将会返回一个高权限的shell。
查看agents看到多了一个system权限的客户端，说明提权成功。
Empire反弹回Metasploit
实际渗透中webshell上传的msf无法绕过主机的杀毒软件时，可以使用powershell来绕过，也可以执行Empire的payload来绕过，成功之后再使用Empire模块反弹回Metasploit。
模块 code_execution/invoke_shellcode.修改lhost 和 lport。
在msf中设置监听，就可以收到Empire反弹回的shell了。
人生漫漫其修远兮，网安无止境。
一同前行，加油！