远控工具Brute Ratel C4 1.4.5 模块介绍

官网版本：V2.0            使用版本：V1.4.5            官方链接：https://0xdarkvortex.dev/

完成某些模块的使用需要上线回话

我已经提前完成

第一个加用户，多用户操作，权限为管理员

第二个选项为删除某一个用户

第三个选项是可以修改当前已有用户的密码

使用xiaod登录成功

【渗透工具】远控工具Brute Ratel C4 1.4.5 --使用教程一（木马上线）
以上教程中使用的就是HTTP监听器

点开提示没有主机文件，因为目前还没有配置

点击监听器右键选择Listener Actions => Host File

做好相关配置

访问http://127.0.0.1:50000/xiaoc.html

更改根页面，该处选项可填入html代码，除了第三条你设置了那些节点以外的任何页面以外的所有页面，都会显示为你填入的html页面

选择之后点击+号输入命令，这些命令将会在shell反弹成功之后自动执行

例如sleep 2 和pwd等命令

会话上线后自动执行

有效载荷配置文件提供了多种选项来配置和构建獾。这些配置独立于监听器配置文件工作。这意味着操作员可以编辑、删除或创建新的有效载荷配置文件，并在进程注入、配置文件迁移或从它们创建新的 shellcode、DLL 或服务可执行文件时动态使用它们。 操作员还可以将配置文件存储在当前 C2 的备份命令和控制服务器中，并使用它们将备份 c2的配置文件直接注入当前有效载荷中，从而允许操作员在无需在磁盘上放置文件的情况下切换 C2。 要添加新配置文件，请选择C4 配置文件->配置文件->有效载荷配置文件，然后单击添加配置文件按钮。

HTTP/HTTPS：

HTTP 配置文件采用与 HTTP 监听器相同的配置类型。 这些字段是相同的，除了不需要构建监听器的信息，因为有效载荷配置文件仅用于构建有效载荷，并且不绑定到任何监听器。 操作员可以为任何其他 Ratel 服务器创建有效载荷配置文件，并从这些配置文件构建有效载荷，执行注入，或使用它们切换配置文件。 这些配置文件还可以与 ‘psexec’ 命令一起使用，以动态生成并在目标主机上运行服务可执行文件。 ‍

Brc4的PsExec特性部分类似于Microsoft的PsExec特性。它在给定的远程系统上创建一个服务，并使用远程过程调用(remote Procedure Calls, RPC)启动它。但是，与Microsoft的PsExec使用CreateProcess在SMB上管道cmd.exe不同，BRc4的PsExec服务包含一个shellcode blob，用于在PsExec执行期间提供的有效负载配置文件，此有效负载可以是SMB、DOH、HTTP或TCP配置文件，并且不一定仅限于SMB。你可以自定义，也可以默认。

点击脚本是一项功能，允许操作员自动执行分组命令。 与允许操作员在獾首次连接时自动执行多个命令的 Autoruns 功能不同，点击脚本是多个命令的列表，这些命令可以链接在一起，以便在任何时候按顺序执行一个命令。 这有助于自动执行属于 MITRE ATT&CK 不同战术和技术的命令，这些命令可以在紫色团队参与期间链接在一起。 下面是一个发现型命令的示例，这些命令被分组到一个名为“发现”的单个 Click 脚本中。 此脚本也可以通过在Commander 中选择 C4Profiler->Clickscripts 或从 C4 Profiler->Profiles->Upload Command Profile 加载其 JSON 配置文件来创建。 要运行这些 Click 脚本，请右键单击一只獾，加载一个 Click 脚本，然后单击运行按钮。

以信息收集为例：

添加一些常用命令

点击加载点击脚本

点击右上角执行

查看socks代理

前提是需要开启socks代理，本次开启socks5代理

每个会话可以开启一个TCP监听器。来自不同主机的 TCP 獾可以连接到该监听器进行横向移动。 可以使用 pivot_tcp 命令启动它。 可以通过选择 服务器->TCP 监听器 查看所有活动的 TCP 监听器。

所有日志都可以通过选择服务器->查看日志来查看。 这将在下载旁边打开一个新选项卡，可以在记事本中查看日志文件

日志记录 选择日志点击View即可查看

操作员可以在Server->Enable/Disable DOH Debug Logs中启用它。一旦启用，在禁用之前，每次回调时，服务器都会显示shell签入。调试日志显示在级别服务器日志中。

指挥官提供所有用户执行的命令的详细日志，以及用于审计目的的相应 MITRE 战术和技术。 这包含简短命令、完整命令、时间和 MITRE 信息，说明命令何时执行以及操作员执行特定命令的次数。 您可以通过选择服务器->操作员活动来访问活动日志。您可以通过从下拉菜单中选择操作员并将日志导出到 CSV 来筛选特定操作员

查看操作员执行的命令

显示空白

官方图：

显示空白