Empire信息收集

Empire主要用于后渗透，因此收集信息是比较常用的一个模块，这里通过键入usemodule collection然后按Tab键查看完整的列表

可以成功查看Empire模块的完整列表
下面演示几个常用模块

1.屏幕截图

进入该模块，查看详细参数（这里不需要修改），然后执行
命令：usemodule collectiojn/screenshot
info
execute



成功截取

2.键盘记录

进入该模块，查看详细参数（这里不需要修改），然后执行就开始记录目标主机的键盘输入情况了，此时会自动在empire/downloads/下生成一个keystrokes.txt文件


我们在目标主机上进行键盘输入，之后再打开keystrokes.txt查看


我键盘只是打了nih1就出来你好，所以，他只是记录键盘，继续尝试


可以看到目标主机的键盘输入情况全部在监控端记录，不能记录中文，空格，删除都是可以记录的
如果要持续进行键盘记录，可以把当前监控模块置于后台，输入jobs即可显示当前在后台的记录，如果要停止记录，可以使用jobs kill JOB_name命令

3.剪切板记录

这个模块允许用户抓取存储在目标主机Windows剪切板上的任何内容，可以设置模块的参数的抓取限制和间隔时间，在一般情况下，保持默认设置就可以，输入以下命令查看具体参数

首先在目标机里随便复制一句话，可以看到屏幕已经显示结果

成功
同样，当前监控模块也可以置于后台，输入jobs会显示当前在后台的记录，如果要停止，同样需要输入jobs kill JOB_name

4.查找共享

输入命令：
usemodule situational_awareness/network/powerview/share_finder
将列出域内所有的共享，可以设置CheckShareAccess选项将只返回可从当前用户上下文中读取的共享，这里保持默认设置即可

5.收集目标主机的信息

输入usemodule situational_awareness/host/winenum命令即可查看本机用户，域组成员，最后的密码设置时间，剪贴板内容，系统基本信息，网络适配器信息，共享信息等

另外还有situation_awareness/host/computerdetails模块，它几乎列举了系统中的所有有用信息，如目标主机事件，应用程序控制策略日志，包括RDP登录信息，PowerShell脚本运行和保存的信息等，在运行这个模块时需要管理权限

6.ARP扫描

Empire内置了ARP扫描模块，输入usemodule situational_awareness/network/arpscan命令即可使用该模块，这里要设置Range参数，输入以下命令设置要扫描的网段
命令：set Range 192.168.188.0-192.168.188.254
execute

Empire也内置了端口扫描模块，输入usemodule situational_awareness/network/portscan命令即可使用该模块

7.DNS信息获取

在内网中，知道所有的机器的HostName和对应的IP地址对分析内网结构至关重要，输入usemodule situational_awareness/network/reverse_dns命令即可使用该模块，这里要设置Range参数，输入要扫描的IP网段运行即可
同时如果该主机同时有两个网卡，Empire也会显示出来，方便我们寻找边界主机
还有一个模块situational_awareness/host/dnsserver显示当前内网DNS服务器的IP地址
这里没有搭建内网环境，因此不再演示

8.查找域管登录服务器IP

在内网渗透中，要想拿到内网中某台机器的域管权限，方法之一就是找到域管登录的机器，然后横向渗透进去，窃取域管权限，从而拿下整个域，这个模块就是用来查找域管登录的机器的
使用usemodule situational_awareness/network/powerview/user_hunter这个模块可以清楚地看到哪位用户登录了哪台主机

9.本地管理访问模块

使用usemodule situational_awareness/network/powerview/find_localadmin_access模块时，不需要做多余的设置，直接输入execute即可

10.获取域控制器

现在可以用usemodule situational_awareness/network/powerview/get_domain_controller模块来确定当前的域控制器，因为已经有了域用户权限，直接输入execute即可
之后便可以访问域服务器DC的“C$”，可以顺利访问

由于无法搭建内网环境，因此有些演示无法继续，之后会进行填补