一、信息收集模块：
1、collection/目录下：
usemodule collection/ #单击tab键，可以列出可用模块
①屏幕截图
usemodule collection/screenshotexecute
进入返回的保存路径查看即可
②键盘记录
usemodule collection/keyloggerexecute
其他模块使用方法类似
2、situational_awareness/host/目录下：
usemodule susemodule situational_awareness/host/ #tab键可以列出可用模块
①杀软信息
usemodule situational_awareness/host/antivirusproductexecute
②查找dns服务器(一般为域控)
usemodule situational_awareness/host/dnsserverexecute
③当前主机基本有用信息
usemodule situational_awareness/host/computerdetails*execute
目标主机事件日志、应用程序控制策略日志，包括RDP登陆信息，Powershell 脚本运行和保存的信息等等。运行这个模块的时候需要管理员权限
④常规信息收集整合模块
usemodule susemodule situational_awareness/host/winenumexecute
查看本机用户，域组成员，最后密码设置时间，剪贴板内容，系统基本系统信息，网络适配器信息，共享信息等等
3、situational_awareness/network/目录下：
usemodule situational_awareness/network/ #tab键列出
①arp扫描探测
usemodule situational_awareness/network/arpscanexecute
②端口扫描
usemodule situational_awareness/network/portscaninfo #查看配置信息set Hosts <扫描的ip>execute
③收集DNS信息
usemodule situational_awareness/network/reverse_dnsset Range 192.168.1.1-192.168.1.101execute
可收集到所有主机名
还有一些其他的模块，实际中用到再具体看吧。
4、利用powerview模块进行信息收集
usemodule situational_awareness/network/powerview/
就是集成了powerview脚本，具体参照powerview的命令用法
①获取域控制器列表
usemodule situational_awareness/network/powerview/get_domain_controllerexecute
②查找所有计算机和相关信息
usemodule situational_awareness/network/powerview/get_computerexecute
每个logoncount代表一台计算机
③域内所有组的详细信息
usemodule situational_awareness/network/powerview/get_groupexecute
其他命令模块具体参考powerview的用法即可
点个赞和在看吧，欢迎转发！
点个赞和在看吧，欢迎转发！
点个赞和在看吧，欢迎转发！
本文始发于微信公众号（哈拉少安全小队）：【Empire系列】03 各类信息收集模块详解
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论