Empire的进攻性研究

Author：zusheng

Link：https://isbase.cc

0x01 Empire简介及部署

Empire是一个开源，跨平台的远程管理和后渗透开发框架。本文是个大杂烩，介绍了Empire的基本功能，还总结Empire常见模块用途，以及渗透中的一些案例研究。

项目地址：https://github.com/EmpireProject/Empire

Empire的部署

官方支持部署系统Kali、Debian、Ubuntu。

本文环境在系统Kali 2019.4下部署完成。

git clone https://github.com/EmpireProject/Empire

部署坑点：

install.sh脚本安装的requests模块版本和urllib3模块不兼容，卸载requests重新安装解决问题。

xxxxxxxxxx
pip uninstall requests
pip install requests

0x02 Empire基础知识

在使用工具前，对工具有一个基础概念会让使用更轻松一点，分析工具目录用途是最快了解工具架构的方法。

Empire目录结构

xxxxxxxxxx
├── data
│   ├── agent
│   ├── misc
│   ├── module_source
│   ├── obfuscated_module_source
│   └── profiles
├── downloads
│   ├── 37SNWM1U
│   ├── 4RY12ZPW
│   ├── DF4UK2SX
│   ├── FP46V2R1
│   ├── KU5E687M
│   ├── STH5VG46
│   └── Z1UCRB3X
├── lib
│   ├── common
│   ├── listeners
│   ├── modules
│   ├── powershell
│   └── stagers
├── plugins
└── setup

• setup目录

  setup最重要的两个文件是install.sh 、reset.sh，一个是安装脚本，一个是重置脚本。

  reset.sh主要干以下事情：

  1. 重置数据库
  2. 删除调试文件
  3. 删除downloads文件夹
  4. 如果不在docker中，则启动Empire

• 主路径empire文件程序启动入口。

• data目录主要存放模块源码、程序数据、agent。

• lib目录主要存放listeners、modules、powershell、stagers等功能模块。

• plugins目录主要存放扩展插件。

listeners

Empire listeners功能主要用于监听返回的shell。

相关命令：

进入listeners交互菜单

使用一个Empire listener模块

显示listener模块设置信息

Stagers

Empire Stagers功能主要用于生成反弹shell的payload。

相关命令：

使用Empire stager

显示usestager模块设置信息

设置usestager模块信息并执行

Payload生成成功

Agents

Empire Agents功能主要用于管理反弹shell的会话。

使用interact命令进入Agents交互菜单

0x03 权限提升

在Agents交互菜单，Username一栏没有*就需要权限提升。

UAC Bypasses

用户admin在管理员组，但是我们的Agents没有提升到管理员权限，这是因为UAC在发挥重要，没有以管理员身份进行运行。

xxxxxxxxxx
shell net localgroup Administrators 查看在管理员组的用户

利用UAC Bypasses提升权限

0x04 横向移动

Empire已经实现以下几种常见的横向移动模块。

• Pass-the-hash
• Invoke-WMI
• Invoke-PsExec
• PSRemoting

Pass-the-hash

Empire的credentials/mimikatz/pth模块通过Invoke-Mimikaz的sekurlsa::pth函数实现了哈希传递。

首先我们使用mimikaz提取用户凭据，creds查看用户凭据

利用situational_awareness/network/powerview/get_user收集用户，看他能干什么。

可以发现这个用户是域管理员，我们可以利用凭据来访问域中的其他机器。

pth 2获取凭据库中CredID为2用户运行程序的PID

然后利用steal_token窃取身份令牌

访问成功

Invoke-WMI

WMI可以描述为一组管理Windows系统的方法和功能。我们可以把它当作API来与Windows系统进行相互交流。WMI在渗透测试中的价值在于它不需要下载和安装， 因为WMI是Windows系统自带功能。而且整个运行过程都在计算机内存中发生，不会留下任何痕迹。

首先获取计算机名：

加载lateral_movement/invoke_wmi模块

需要设置ComputerName和Listener

xxxxxxxxxx
(Empire: powershell/lateral_movement/invoke_wmi) > set Listener testhttp
(Empire: powershell/lateral_movement/invoke_wmi) > set ComputerName DC3

返回agent VBFT4SPG

Invoke-PsExec

利用PsExec进行横向移动，一般情况下不建议使用。

使用模块powershell/situational_awareness/network/powerview/find_localadmin_access查找可以利用PsExec进行横向移动的机器。

加载lateral_movement/invoke_psexec模块，需要设置ComputerName和Listener

xxxxxxxxxx
(Empire: LDYN7VBW) > usemodule lateral_movement/invoke_psexec
(Empire: powershell/lateral_movement/invoke_psexec) > set ComputerName DC3
(Empire: powershell/lateral_movement/invoke_psexec) > set Listener testhttp
(Empire: powershell/lateral_movement/invoke_psexec) > execute

返回agent PLTAH594

PSRemoting

如果远程计算机运行Enable-PSRemoting将计算机配置为接收远程命令，我们就可以利用PSRemoting来进行横向移动。

配置PowerShell会话的远程访问

xxxxxxxxxx
Enable-PSRemoting -Force #启用

更多关于PSRemoting的知识请看下方链接：

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.core/enable-psremoting?view=powershell-6

0x05 Empire 204个模块信息列表

code_execution（代码执行）

collection（信息采集）

credentials（身份凭证）

exfiltration（数据窃取）

exploitation（漏洞利用EXP）

lateral_movement（横向移动）

management（管理）

persistence（持久化）

privesc（权限提升）

recon（侦察）

situational_awareness（态势感知）

trollsploit（嬉戏）