【技术分享】一篇文章精通PowerShell Empire 2.3（上）

 

作者：shuteer

预估稿费：700RMB

（本篇文章享受双倍稿费 活动链接请点击此处）

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

 

传送门

 

【技术分享】一篇文章精通PowerShell Empire 2.3（下）

 

0×00 引言

 

作为360安全的忠实读者和作者，360这次搞活动肯定是要捧场的，至于为什么选择写Empire，是因为Empire在域渗透方面的功能实在是太强大，很多人只是用来生成免杀，未免有点大材小用。而且网上了一直没有一个系统的教程，特别是版本更新到2.X以后，有些使用方法发生了改变，甚至连官网的介绍都没有更新。因为该工具的使用要求搭建域环境，大概写了四五天，期间有在外网VPS上操作的，也有在内网操作的，所以在这个方面不要太较真，只要研究其方法即可。

除了基本的安装，使用以外，在模块方面主要分成生成木马，信息收集，提权，横向渗透以及后门五个方面来写，目录如下。

0×01.Empire简介

0×02.Empire的基本操作

1．安装

2．设置监听

0×03.生成木马

1.dll

2.launcher

3．launcher_vbs

4.launcher_bat

5.macro

6.Ducky

0×04.连接代理及基本使用

0×05. 信息收集

1.屏幕截图

2.键盘记录

3.剪贴板记录

4.查找共享

5.收集目标主机有用的信息

6.ARP扫描

7.DNS信息获取

8.查找域管登陆服务器IP

9.本地管理组访问模块

10.获取域控制器

0×06. 提权

1.bypassuac

2. bypassuac_wscript

3. ms16-032

4.PowerUp

4.1 AllChecks模块

4.2模块使用说明

5.GPP

0×07. 横向渗透

1.令牌窃取

2.会话注入

3.Invoke-PsExec

4.Invoke-WMI

5.Powershell Remoting

0×08. 后门

1.权限持久性劫持shift后门

2.注册表注入后门

3.计划任务获得系统权限

0×09.  Empire反弹回Metasploit

 

0×01.Empire简介

 

Empire是一个针对windows平台的使用PowerShell脚本作为攻击载荷的渗透攻击框架，包括了从stager生成、提权到渗透维持的一系列功能。Empire实现了无需powershell.exe就可运行PowerShell代理的功能。快速部署后期漏洞利用模块，内置模块有键盘记录、Mimikatz、绕过UAC、内网扫描等等，并且能够适应通信躲避网络检测和大部分安全防护工具的查杀，简单来说有点类似于Metasploit，是一个基于PowerShell的远程控制木马。

Empire的全部功能可以参考官方网站：http://www.powershellempire.com/

 

0×02.Empire的基本操作

 

1．安装

Empire运行在linux平台上，这里我们安装在购买的VPS上，使用的系统是Debian，首先使用git命令把程序目录下载下来，如下图所示。

git clone https://github.com/EmpireProject/Empire.git

                                             

接着进入setup目录，安装empire，命令如下：

cd Empire

cd setup

sudo ./install.sh

安装结束后，在Empire目录下输入./empire就打开了Empire工具，最新版本是2.3,可以看到有280个模块，0个监听，0个代理，如下图所示。

2．设置监听

运行Empire后，我们输入help命令来查看具体使用帮助，如下图所示。

很多人在第一次使用Empire时常常会不知道从何下手，其实Empire和Metasploit的使用原理是一样的，都是先设置一个监听，然后去生成一个木马，然后在目标主机运行该木马，我们的监听就会连接上反弹回来的代理。

这里第一步首先要建立一个监听，和metasploit创建一个监听载荷一个道理，输入listeners命令进入监听线程界面，我们可以输入help查看下帮助文件，如下图所示。

接着输入uselistener来设置采用何种模式，我们通过双击Tab键可以看到一共有7种模式，dbx,http,http_com,http_foreign,http_hop,http_mapi和我们熟悉的meterpreter。

这里我们设置http监听模式，输入uselistener http, 然后输入info查看具体参数设置，如下图所示。

这里可以使用set命令可以设置相应参数，这里我们需要使用如下命令设置下Name、 Host和Port。

 

Set Name shuteer
Set Host XXX.XXX.XXX.XXX:XXXX(Empir所在服务器IP)

这里我们host默认的就是我们VPN的IP就不做修改了，修改完成后，我们可以再次输入info查看是否设置正确，然后输入execute命令即可开始监听。如下图所示。

输入back命令返回上一层listeners界面上，使用list命令可以列出当前激活的listener

删除该监听，使用kill命令，如下图所示。

这里要注意一点，当开启多个监听的时候，必须使用不同的名称，并且使用不同的端口，如果设置的端口已经被使用，会有提示信息。

 

0×03.生成木马

 

设置完监听，接着我们要生成木马然后在目标机器上运行。可以把这个理解成Metasploit里面的payload，Empire里拥有多个模块化的stagers，接着输入usestager来设置采用何种模块，我们同样通过双击Tab键可以看到一共有26个模块。如下图所示。

其中multi为通用模块、osx是mac操作系统、剩下的就是windows的模块，下面我们挑选其中几种常用类型的木马来具体讲解。

1.dll

输入usestager windows/dll的命令，然后输入info命令来查看详细参数，如下图所示

这里我们设置一下Listener，然后执行execute命令，就会在tmp目录下生成launcher.dll的木马，如下图所示。

然后将launcher.dll在目标主机上运行后，就会成功上线。

2.launcher

如果只是需要简单的powershell代码，在设置完相应模块后，可以直接在监听器菜单中键入“launcher <language> <listenerName>”，这将很快为您生成一行base64编码代码，这里输入back命令回到listeners下，然后输入launcher powershell shuteer(当前设置的listener名字)命令来生成一个Payload。如下图所示。

我将生成的这段命令在装有powershell的目标机上执行，就会得到这个主机的权限，这里我们使用的虚拟机是win2008 R2的64位Enterprise版，安装有有杀毒软件，我们直接COPY这段命令到虚拟机webshell下执行，如下图所示。

可以看到Empire已经上线了一个Name为L9FPTXV6的主机，而且所有杀毒均没有任何提示，输入agents就可以看到上线目标主机的具体内容，这里的Agents就相当于Metasploit的会话sessions如下图所示。

这里的代理Name他会取一个随机的名字，这里我们可以修改这个随机名字，使用rename <oldAgentName> <newAgentName>命令，这里我们输入rename L9FPTXV6 USA，更改成功，如下图所示。

3．launcher_vbs

输入usestager windows/launcher_vbs的命令，然后输入info命令来查看详细参数，如下图所示。

使用下面命令设置下listener的参数并运行，默认会在tmp文件夹下生成launcher.vbs。如下图所示。

 

Set listener shuteer
Execute

最后输入back命令回到listeners下开始监听，将生成的这个launcher.vbs在目标机上打开，就会得到这个主机的权限，这里我们使用的虚拟机是win10的64位旗舰版，安装有系统自带的Defender，运行后，成功上线，Defender没有任何提示。如下图所示。

这里如果要生成powershell代码，设置完Listener后不用execute，直接back，然后输入launcher powershell shuteer即可，如下图所示。

4.launcher_bat

输入usestager windows/launcher_bat的命令，然后输入info命令查看详细参数，如下图所示。

使用下面命令设置下listener的参数并输入execute命令运行，默认会在tmp文件夹下生成launcher.bat，如下图所示。

 

Set listener shuteer
Execute

输入back命令回到listeners下开始监听，然后将生成的这个launcher.bat在目标机上打开，就会得到这个主机的权限，这里我们在虚拟机运行后，可以看到，已经成功上线了。如下图所示。

为了增加迷惑性，也可以将该批处理插入到一个office文件中，这里随便找个word或者excel文件，点击“插入”标签选择“对象”，然后选择“由文件创建”，点击“浏览”，并选择刚才生成的批处理文件，然后勾选“显示为图标”，点击“更改图标”来更改一个更具诱惑的图标。如下图所示。

在“更改图标”界面里，我们可以选择一个图标，这里建议使用微软Excel、Word或PowerPoint图标，这里我们使用了word的图标，并且更改文件的名称为研究成果，扩展名改为doc。点击确定后，该对象就会插入到word文件中，如下图所示。

接着在listeners下监听，然后将该word文件发给目标，一旦在目标机上打开，并运行了内嵌的批处理文件，就会得到这个主机的权限，这里我们使用的虚拟机是win10的64位旗舰版，安装有系统自带的Defender，运行后，成功上线，Defender没有任何提示，杀软会报宏病毒。如下图所示。

5.macro

输入usestager windows/macro的命令，然后输入info命令来查看详细参数，如下图所示。

这里使用下面命令设置下listener的参数并输入execute命令运行，如下图所示。

 

Set listener shuteer
Execute

默认会生成一个宏，储存在/tmp/macro文件中，如下图所示。

然后我们需要将生成的宏添加到一个Office文档里面，这里还是用上例word文件，点击“视图”标签选择“宏”，宏的位置选择当前文件，宏名随便起一个，然后点击创建，如下图所示。

点击创建后，会弹出VB编辑界面，将里面原来的代码删除，把我们生成的宏复制进去，另存为“Word 97-2003文档（*.doc）”文件。如下图所示。

最后我将这个修改过的word拷到目标机上执行，打开后会提示一个安全警告，这里需要使用一些社会工程学的策略，诱导目标点击“启用内容”。如下图所示。

这里我们点击“启用内容”，可以看到在我们的监听界面下面，目标机已经顺利上线了。实际测试杀软会报宏病毒。

如果要删除该主机，同样使用kill或者remove命令，如下图所示。

6.Ducky

Empire也支持ducky 模块，也就是我们常说的“小黄鸭”，输入usestager windows/ducky命令，然后输入info命令来查看详细参数，如下图所示。

这里只要设置下Listener参数，就可以生成用于烧制的代码，如下图所示。

将该代码烧制“小黄鸭”中，插入对方电脑，就可以反弹回来。具体操作流程可以参考这篇文章：利用USB RUBBER DUCKY（USB 橡皮鸭）在目标机器上启动Empire或Meterpreter会话。

 

0×04.连接代理及基本使用

 

目标主机反弹成功以后，我们可以使用agents命令列出当前已激活的代理，这里注意带有（*）的是已提权成功的代理。如下图所示。

然后使用interact命令连接代理，代理的名称支持TAB键的补全，连接成功后，我们输入help命令可以列出所有的命令，如下图所示。

可以看到功能相当强大，基本可以和Metasploit媲美，更为强大的是兼容windows，linux和metasploit的部分常用命令，使用上手相当快，如下图所示。

输入help agentcmds可以看到可供使用的常用命令，如下图所示。

使用cmd命令的时候，要使用“shell+命令”的格式，如下图所示。

我们再试试内置的mimikatz模块，输入mimikatz命令，如下图所示。

同Metasploit一样，输入creds命令，可以自动过滤整理出获取的用户密码。

这里有个小技巧，输入creds后双击tab键，可以看到一些选项，如下图所示。

在内网抓取的密码比较多又乱的时候，可以通过命令来正对hash/plaintext进行排列，增加，删除，导出等操作，这里我们将凭证存储导出为，输入creds export 目录/xx.csv命令，如下图所示。

实际渗透过程中由于种种原因总会有部分反弹丢失或者失效，可以使用list stale命令来列出已经丢失的反弹代理，然后用remove stale来删去已经失效的反弹。如下图所示。

其他还有一些常用命令，如bypassuac提权命令，SC截图命令，Download下载文件，upload上传文件等等比较简单就不做演示了，建议大家参照帮助多多尝试其他命令。

（待续）

QQ:8946723     QQ群：282951544   欢迎各位的交流和批评指正！