其他分享
首页 > 其他分享> > Empire信息收集

Empire信息收集

作者:互联网

Empire主要用于后渗透,因此收集信息是比较常用的一个模块,这里通过键入usemodule collection然后按Tab键查看完整的列表
在这里插入图片描述
可以成功查看Empire模块的完整列表
下面演示几个常用模块

1.屏幕截图

进入该模块,查看详细参数(这里不需要修改),然后执行
命令:usemodule collectiojn/screenshot
info
execute
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
成功截取

2.键盘记录

进入该模块,查看详细参数(这里不需要修改),然后执行就开始记录目标主机的键盘输入情况了,此时会自动在empire/downloads/下生成一个keystrokes.txt文件
在这里插入图片描述
在这里插入图片描述
我们在目标主机上进行键盘输入,之后再打开keystrokes.txt查看
在这里插入图片描述
在这里插入图片描述
我键盘只是打了nih1就出来你好,所以,他只是记录键盘,继续尝试
在这里插入图片描述
在这里插入图片描述
可以看到目标主机的键盘输入情况全部在监控端记录,不能记录中文,空格,删除都是可以记录的
如果要持续进行键盘记录,可以把当前监控模块置于后台,输入jobs即可显示当前在后台的记录,如果要停止记录,可以使用jobs kill JOB_name命令
在这里插入图片描述

3.剪切板记录

这个模块允许用户抓取存储在目标主机Windows剪切板上的任何内容,可以设置模块的参数的抓取限制和间隔时间,在一般情况下,保持默认设置就可以,输入以下命令查看具体参数
在这里插入图片描述
首先在目标机里随便复制一句话,可以看到屏幕已经显示结果
在这里插入图片描述
成功
同样,当前监控模块也可以置于后台,输入jobs会显示当前在后台的记录,如果要停止,同样需要输入jobs kill JOB_name

4.查找共享

输入命令:
usemodule situational_awareness/network/powerview/share_finder
将列出域内所有的共享,可以设置CheckShareAccess选项将只返回可从当前用户上下文中读取的共享,这里保持默认设置即可
在这里插入图片描述

5.收集目标主机的信息

输入usemodule situational_awareness/host/winenum命令即可查看本机用户,域组成员,最后的密码设置时间,剪贴板内容,系统基本信息,网络适配器信息,共享信息等
在这里插入图片描述
另外还有situation_awareness/host/computerdetails模块,它几乎列举了系统中的所有有用信息,如目标主机事件,应用程序控制策略日志,包括RDP登录信息,PowerShell脚本运行和保存的信息等,在运行这个模块时需要管理权限
在这里插入图片描述

6.ARP扫描

Empire内置了ARP扫描模块,输入usemodule situational_awareness/network/arpscan命令即可使用该模块,这里要设置Range参数,输入以下命令设置要扫描的网段
命令:set Range 192.168.188.0-192.168.188.254
execute
在这里插入图片描述
Empire也内置了端口扫描模块,输入usemodule situational_awareness/network/portscan命令即可使用该模块

7.DNS信息获取

在内网中,知道所有的机器的HostName和对应的IP地址对分析内网结构至关重要,输入usemodule situational_awareness/network/reverse_dns命令即可使用该模块,这里要设置Range参数,输入要扫描的IP网段运行即可
同时如果该主机同时有两个网卡,Empire也会显示出来,方便我们寻找边界主机
还有一个模块situational_awareness/host/dnsserver显示当前内网DNS服务器的IP地址
这里没有搭建内网环境,因此不再演示

8.查找域管登录服务器IP

在内网渗透中,要想拿到内网中某台机器的域管权限,方法之一就是找到域管登录的机器,然后横向渗透进去,窃取域管权限,从而拿下整个域,这个模块就是用来查找域管登录的机器的
使用usemodule situational_awareness/network/powerview/user_hunter这个模块可以清楚地看到哪位用户登录了哪台主机

9.本地管理访问模块

使用usemodule situational_awareness/network/powerview/find_localadmin_access模块时,不需要做多余的设置,直接输入execute即可
在这里插入图片描述

10.获取域控制器

现在可以用usemodule situational_awareness/network/powerview/get_domain_controller模块来确定当前的域控制器,因为已经有了域用户权限,直接输入execute即可
之后便可以访问域服务器DC的“C$”,可以顺利访问

由于无法搭建内网环境,因此有些演示无法继续,之后会进行填补

标签:network,收集,信息,situational,输入,模块,Empire,usemodule,awareness
来源: https://blog.csdn.net/bring_coco/article/details/113550173