> For the complete documentation index, see [llms.txt](https://www.heresecurity.wiki/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://www.heresecurity.wiki/nei-wang-he-yu/ming-ling-yu-kong-zhi/empire/mo-kuai.md). # 模块 **Collection（信息采集）** | 模块名 | 功能 | | -------------------------------------------------- | ------------------------------------------------------------------------------- | | collection/ChromeDump | 收集chrome浏览器保存的密码和浏览历史记录 | | collection/FoxDump | 收集Firefox浏览器保存的密码和浏览历史记录 | | collection/USBKeylogger\* | 利用ETW作为键盘记录 | | collection/WebcamRecorder | 从摄像头捕获视频 | | collection/browser\_data | 搜索浏览器历史记录或书签 | | collection/clipboard\_monitor | 按指定的时间间隔监视剪贴板 | | collection/file\_finder | 查找域中的敏感文件 | | collection/find\_interesting\_file | 查找域中的敏感文件 | | collection/get\_indexed\_item | 获取Windows desktop search索引文件 | | collection/get\_sql\_column\_sample\_data | 从目标SQL Server返回列信息。 | | collection/get\_sql\_query | 在目标SQL服务器上执行查询 | | collection/inveigh | Windows PowerShell LLMNR/mDNS/NBNS中间人工具 | | collection/keylogger | 键盘记录到keystrokes.txt文件中，文件位置/downloads/agentname/keystrokes.txt/agentname | | collection/minidump | 进程的全内存转储，PowerSploit的Out-Minidump.ps1 | | collection/netripper | 将NetRipper注入目标进程，该进程使用API挂钩以拦截来自低特权用户的网络流量和与加密相关的功能，从而能够在加密之前/解密之后捕获纯文本流量和加密流量。 | | collection/ninjacopy\* | 通过读取原始卷并解析NTFS结构，从NTFS分区卷中复制文件。 | | collection/packet\_capture\* | 使用netsh在主机上启动数据包捕获。 | | collection/prompt | 提示当前用户在表单框中输入其凭据，然后返回结果。 | | collection/screenshot | 屏幕截图 | | collection/vaults/add\_keepass\_config\_trigger | 寻找KeePass配置 | | collection/vaults/find\_keepass\_config | 此模块查找并解析KeePass.config.xml (2.X)和KeePass.config.xml (1.X)文件。 | | collection/vaults/get\_keepass\_config\_trigger | 该模块从KeePass 2.X配置XML文件中提取触发器说明 | | collection/vaults/keethief | 此模块检索未锁定的KeePass数据库的database mastey key信息 | | collection/vaults/remove\_keepass\_config\_trigger | 该模块从Find-KeePassConfig找到的所有KeePass配置中删除所有触发器 | ``` >usemodule collection/ tab补齐查看模块 >usemodule collection/screenshot 获取当前桌面截图，文件存储在./Empire/download/agent名字/screenshot >usemodule collection/keylogger 键盘记录，文件存储在./Empire/download/agent名字/agent.log >usemodule situational_awareness/host/winenum 查看当前用户、AD组、剪切板内容、系统版本、共享、网络信息、防火墙规则 >usemodule situational_awareness/network/powerview/share_finder 列出域内所有共享 >usemodule situational_awareness/network/arpscan >set Range 192.168.0.1-192.168.0.100 ARP扫描，需设置扫描网段区间 >usemodule situational_awareness/network/portscan >set Hosts 192.168.0.1-192.168.0.100 端口扫描，需设置IP或IP段 >usemodule situational_awareness/network/reverse_dns DNS信息，需设置IP >set Range 192.168.0.1-192.168.0.100 >usemodule situational_awareness/network/powerview/get_domain_controller 查找域控 ``` **Code\_execution（代码执行）** | 模块名 | 功能 | | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------ | | code\_execution/invoke\_dllinjection | 使用PowerSploit的Invoke-DLLInjection将Dll注入您选择的进程ID。 | | code\_execution/invoke\_metasploitpayload | 生成一个新的隐藏PowerShell窗口，该窗口下载并执行Metasploit Payload。这与Metasploit模块theexploit/multi/scripts/web\_delivery互动 | | code\_execution/invoke\_ntsd | 使用NT Symbolic Debugger执行Empire launcher代码 | | code\_execution/invoke\_reflectivepeinjection | 使用PowerSploit的Invoke-ReflectivePEInjection进行反射PE注入，将DLL/EXE加载进PowerShell进程中，或者将DLL加载进远程进程中 | | code\_execution/invoke\_shellcode | 使用PowerSploit的Invoke--Shellcode注入Shellcode | | code\_execution/invoke\_shellcodemsil | 执行shellcode | | ##### Credentials（身份凭证） | | | 模块名 | 功能 | | ------------ | ------------ | | credentials/credential\_injection\* | 运行PowerSploit的Invoke-CredentialInjection创建具有明文凭证的登录，而不会触发事件ID 4648使用显式凭据尝试登录 | | credentials/enum\_cred\_store | 从Windows凭据管理器中转储当前交互用户的纯文本凭据 | | credentials/invoke\_kerberoast | 为具有非空服务主体名称（SPN）的所有用户请求kerberos票据，并将其提取为John或Hashcat可用格式 | | credentials/powerdump\* | 使用Posh-SecMod的Invoke-PowerDump从本地系统中转储哈希 | | credentials/sessiongopher | 提取WinSCP已保存的会话和密码 | | credentials/tokens | 运行PowerSploit的Invoke-TokenManipulation枚举可用的登录令牌，并使用它们创建新的进程 | | credentials/vault\_credential\* | 运行PowerSploit的Get-VaultCredential以显示Windows Vault凭证对象，包括明文Web凭证 | | credentials/mimikatz/cache\* | 运行PowerSploit的Invoke-Mimikatz函数以提取MSCache(v2) hashes | | credentials/mimikatz/certs\* | 运行PowerSploit的Invoke-Mimikatz函数将所有证书提取到本地目录 | | credentials/mimikatz/command\* | 使用自定义命令运行PowerSploit的Invoke-Mimikatz函数 | | credentials/mimikatz/dcsync | 运行PowerSploit的Invoke-Mimikatz函数，以通过Mimikatz的lsadump::dcsync模块提取给定的帐户密码 | | credentials/mimikatz/dcsync\_hashdump | 运行PowerSploit的Invoke-Mimikatz函数，以使用Mimikatz的lsadump::dcsync模块收集所有域哈希 | | credentials/mimikatz/extract\_tickets | 运行PowerSploit的Invoke-Mimikatz函数，以base64编码形式从内存中提取kerberos票据 | | credentials/mimikatz/golden\_ticket | 运行PowerSploit的Invoke-Mimikatz函数以生成黄金票据并将其注入内存 | | credentials/mimikatz/keys\* | 运行PowerSploit的Invoke-Mimikatz函数以将所有密钥提取到本地目录 | | credentials/mimikatz/logonpasswords\* | 运行PowerSploit的Invoke-Mimikatz函数以从内存中提取纯文本凭据。 | | credentials/mimikatz/lsadump\* | 运行PowerSploit的Invoke-Mimikatz函数以从内存中提取特定的用户哈希。 在域控制器上很有用。 | | credentials/mimikatz/mimitokens\* | 运行PowerSploit的Invoke-Mimikatz函数以列出或枚举令牌。 | | credentials/mimikatz/pth\* | 运行PowerSploit的Invoke-Mimikatz函数以执行sekurlsa::pth来创建一个新进程。 | | credentials/mimikatz/purge | 运行PowerSploit的Invoke-Mimikatz函数从内存中清除所有当前的kerberos票据 | | credentials/mimikatz/sam\* | 运行PowerSploit的Invoke-Mimikatz函数从安全帐户管理器（SAM）数据库中提取哈希 | | credentials/mimikatz/silver\_ticket | 运行PowerSploit的Invoke-Mimikatz函数，以生成服务器/服务的白银票据并将其注入内存。 | | credentials/mimikatz/trust\_keys\* | 运行PowerSploit的Invoke-Mimikatz函数，从域控制器中提取域信任密钥。 | | ##### Exfiltration（数据窃取） | | | 模块名 | 功能 | | ------------ | ------------ | | exfiltration/egresscheck | 可用于帮助检查主机与客户端系统之间的出口，详细信息： | | exfiltration/exfil\_dropbox | 下载文件到dropbox | | ##### Exploitation（漏洞利用EXP） | | | 模块名 | 功能 | | ------------ | ------------ | | exploitation/exploit\_eternalblue | MS17\_010永恒之蓝漏洞利用 | | exploitation/exploit\_jboss | Jboss漏洞利用 | | exploitation/exploit\_jenkins | 在未授权访问的Jenkins脚本控制台上运行命令 | | ##### Lateral\_movement（横向移动） | | | 模块名 | 功能 | | ------------ | ------------ | | lateral\_movement/inveigh\_relay | smb中继攻击 | | lateral\_movement/invoke\_dcom | 使用DCOM在远程主机上执行stager | | lateral\_movement/invoke\_executemsbuild | 该模块利用WMI和MSBuild编译并执行一个包含Empire launcher的xml文件。 | | lateral\_movement/invoke\_psexec | PsExec横向移动 | | lateral\_movement/invoke\_psremoting | 远程PowerShell横向移动 | | lateral\_movement/invoke\_smbexec | SMBExec横向移动 | | lateral\_movement/invoke\_sqloscmd | 利用xp\_cmdshell横向移动 | | lateral\_movement/invoke\_sshcommand | 利用SSH横向移动 | | lateral\_movement/invoke\_wmi | 利用WMI横向移动 | | lateral\_movement/invoke\_wmi\_debugger | 使用WMI将远程机器上的二进制文件的调试器设置为cmd.exe或stager | | lateral\_movement/jenkins\_script\_console | 利用未授权访问的Jenkins脚本控制台横向移动 | | lateral\_movement/new\_gpo\_immediate\_task | 利用GPO中的计划任务横向移动 | | ##### Management（管理） | | | 模块名 | 功能 | | ------------ | ------------ | | management/enable\_rdp\* | 在远程计算机上启用RDP并添加防火墙例外。 | | management/disable\_rdp\* | 在远程计算机上禁用RDP | | management/downgrade\_account | 在给定的域帐户上设置可逆加密，然后强制下次用户登录时设置密码。 | | management/enable\_multi\_rdp\* | 允许多个用户建立同时的RDP连接。 | | management/get\_domain\_sid | 返回当前指定域的SID | | management/honeyhash\* | 将人工凭证注入到LSASS | | management/invoke\_script | 运行自定义脚本 | | management/lock | 锁定工作站的显示 | | management/logoff | 从计算机上注销当前用户（或所有用户） | | management/psinject | 利用Powershell注入Stephen Fewer形成的ReflectivePick，该ReflectivePick在远程过程中从内存执行PS代码 | | management/reflective\_inject | 利用Powershell注入Stephen Fewer形成的ReflectivePick，该ReflectivePick在远程过程中从内存执行PS代码 | | management/restart | 重新启动指定的机器 | | management/runas | 绕过GPO路径限制 | | management/shinject | 将PIC Shellcode Payload注入目标进程 | | management/sid\_to\_user | 将指定的域sid转换为用户 | | management/spawn | 在新的powershell.exe进程中生成新agent | | management/spawnas | 使用指定的登录凭据生成agent | | management/switch\_listener | 切换listener | | management/timestomp | 通过'调用Set-MacAttribute执行类似耗时的功能 | | management/user\_to\_sid | 将指定的domain\user转换为domain sid | | management/vnc | Invoke-Vnc在内存中执行VNC代理并启动反向连接 | | management/wdigest\_downgrade\* | 将计算机上的wdigest设置为使用显式凭据 | | management/zipfolder | 压缩目标文件夹以供以后渗透 | | management/mailraider/disable\_security | 此函数检查ObjectModelGuard | | management/mailraider/get\_emailitems | 返回指定文件夹的所有项目 | | management/mailraider/get\_subfolders | 返回指定顶级文件夹中所有文件夹的列表 | | management/mailraider/mail\_search | 在给定的Outlook文件夹中搜索项目 | | management/mailraider/search\_gal | 返回与指定搜索条件匹配的所有exchange users | | management/mailraider/send\_mail | 使用自定义或默认模板将电子邮件发送到指定地址。 | | management/mailraider/view\_email | 选择指定的文件夹，然后在指定的索引处输出电子邮件项目 | | ##### Persistence（持久化） | | | 模块名 | 功能 | | ------------ | ------------ | | persistence/elevated/registry\* | 计算机启动项持久化，通过HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Run进行持久化，运行一个stager或者脚本 | | persistence/elevated/schtasks\* | 计划任务持久化 | | persistence/elevated/wmi\* | WMI事件订阅持久化 | | persistence/elevated/wmi\_updater\* | WMI订阅持久化 | | persistence/misc/add\_netuser | 将域用户或本地用户添加到当前（或远程）计算机 | | persistence/misc/add\_sid\_history\* | 运行PowerSploit的Invoke-Mimikatz函数以执行misc::addsid以添加用户的sid历史记录。 仅适用于域控制器 | | persistence/misc/debugger\* | 将指定目标二进制文件的调试器设置为cmd.exe | | persistence/misc/disable\_machine\_acct\_change\* | 禁止目标系统的机器帐户自动更改其密码 | | persistence/misc/get\_ssps | 枚举所有已加载的安全软件包 | | persistence/misc/install\_ssp\* | 安装安全支持提供程序dll | | persistence/misc/memssp\* | 运行PowerSploit的Invoke-Mimikatz函数以执行misc::memssp，将所有身份验证事件记录到C:\Windows\System32\mimisla.log | | persistence/misc/skeleton\_key\* | 运行PowerSploit的Invoke-Mimikatz函数来执行misc::skeleton，植入密码mimikatz的万能钥匙。 仅适用于域控制器 | | persistence/powerbreach/deaduser | DeadUserBackdoor后门，详细信息： | | persistence/powerbreach/eventlog\* | 启动事件循环后门 | | persistence/powerbreach/resolver | 启动解析器后门 | | persistence/userland/backdoor\_lnk | LNK文件后门 | | persistence/userland/registry | 计算机启动项持久化，通过HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Run进行持久化，运行一个stager或者脚本 | | persistence/userland/schtasks | 计划任务持久化 | | ##### Privesc（权限提升） | | | 模块名 | 功能 | | ------------ | ------------ | | privesc/ask | 弹出一个对话框，询问用户是否要以管理员身份运行powershell | | privesc/bypassuac | UAC bypass | | privesc/bypassuac\_env | UAC bypass | | privesc/bypassuac\_eventvwr | UAC bypass | | privesc/bypassuac\_fodhelper | UAC bypass | | privesc/bypassuac\_sdctlbypass | UAC bypass | | privesc/bypassuac\_tokenmanipulation | UAC bypass | | privesc/bypassuac\_wscript | UAC bypass | | privesc/getsystem\* | 获取system特权 | | privesc/gpp | 利用windows组策略首选项缺陷获取系统帐号 | | privesc/mcafee\_sitelist | 寻找McAfee SiteList.xml文件的纯文本密码 | | privesc/ms16-032 | MS16-032本地提权 | | privesc/ms16-135 | MS16-135本地提权 | | privesc/tater | 利用PowerShell实现的Hot Potato提权 | | privesc/powerup/allchecks | 检查目标主机的攻击向量以进行权限提升 | | privesc/powerup/find\_dllhijack | 查找通用的.DLL劫持 | | privesc/powerup/service\_exe\_restore | 还原备份的服务二进制文件 | | privesc/powerup/service\_exe\_stager | 备份服务的二进制文件，并用启动stager.bat的二进制文件替换原始文件 | | privesc/powerup/service\_exe\_useradd | 修改目标服务以创建本地用户并将其添加到本地管理员 | | privesc/powerup/service\_stager | 修改目标服务以执行Empire stager | | privesc/powerup/service\_useradd | 修改目标服务以创建本地用户并将其添加到本地管理员 | | privesc/powerup/write\_dllhijacker | 将可劫持的.dll以及.dll调用的stager.bat一起写到指定路径。 wlbsctrl.dll在Windows 7上运行良好。需要重新启动计算机 | | ##### Recon（侦察） | | | 模块名 | 功能 | | ------------ | ------------ | | recon/find\_fruit | 在网络范围内搜索潜在的易受攻击的Web服务 | | recon/get\_sql\_server\_login\_default\_pw | 发现在当前广播域之内的SQL Server实例 | | recon/http\_login | 针对基本身份验证测试凭据 | | ##### Situational\_awareness（态势感知） | | | 模块名 | | | ------------ | ------------ | | situational\_awareness/host/antivirusproduct | 获取防病毒产品信息 | | situational\_awareness/host/computerdetails\* | 枚举有关系统的有用信息 | | situational\_awareness/host/dnsserver | 枚举系统使用的DNS服务器 | | situational\_awareness/host/findtrusteddocuments | 该模块将枚举适当的注册表 | | situational\_awareness/host/get\_pathacl | 枚举给定文件路径的ACL | | situational\_awareness/host/get\_proxy | 枚举当前用户的代理服务器和WPAD内容 | | situational\_awareness/host/get\_uaclevel | 枚举UAC级别 | | situational\_awareness/host/monitortcpconnections | 监视主机与指定域名或IPv4地址的TCP连接，对于会话劫持和查找与敏感服务进行交互的用户很有用 | | situational\_awareness/host/paranoia\* | 持续检查运行过程中是否存在可疑用户 | | situational\_awareness/host/winenum | 收集有关主机和当前用户上下文的相关信息 | | situational\_awareness/network/arpscan | 针对给定范围的IPv4 IP地址执行ARP扫描 | | situational\_awareness/network/bloodhound | 执行BloodHound数据收集 | | situational\_awareness/network/get\_exploitable\_system | 查询Active Directory以查找可能容易受到Metasploit Exploit的系统 | | situational\_awareness/network/get\_spn | 获取服务主体名称（SPN） | | situational\_awareness/network/get\_sql\_instance\_domain | 返回SQL Server实例列表 | | situational\_awareness/network/get\_sql\_server\_info | 从目标SQL Server返回基本服务器和用户信息 | | situational\_awareness/network/portscan | 使用常规套接字进行简单的端口扫描 | | situational\_awareness/network/reverse\_dns | 执行给定IPv4 IP范围的DNS反向查找 | | situational\_awareness/network/smbautobrute | 针对用户名/密码列表运行SMB暴力破解 | | situational\_awareness/network/smbscanner | 在多台机器上测试用户名/密码组合 | | situational\_awareness/network/powerview/find\_foreign\_group | 枚举给定域的组的所有成员，并查找不在查询域中的用户 | | situational\_awareness/network/powerview/find\_foreign\_user | 枚举在其主域之外的组中的用户 | | situational\_awareness/network/powerview/find\_gpo\_computer\_admin | 获取计算机（或GPO）对象，并确定哪些用户/组对该对象具有管理访问权限 | | situational\_awareness/network/powerview/find\_gpo\_location | 获取用户名或组名，并确定其具有通过GPO进行管理访问的计算机 | | situational\_awareness/network/powerview/find\_localadmin\_access | 在当前用户具有“本地管理员”访问权限的本地域上查找计算机 | | situational\_awareness/network/powerview/find\_managed\_security\_group | 此功能检索域中的所有安全组 | | situational\_awareness/network/powerview/get\_cached\_rdpconnection | 使用远程注册表功能来查询计算机上“ Windows远程桌面连接客户端”的所有信息 | | situational\_awareness/network/powerview/get\_computer | 查询当前计算机对象的域 | | situational\_awareness/network/powerview/get\_dfs\_share | 返回给定域的所有容错分布式文件系统的列表 | | situational\_awareness/network/powerview/get\_domain\_controller | 返回当前域或指定域的域控制器 | | situational\_awareness/network/powerview/get\_domain\_policy | 返回给定域或域控制器的默认域或DC策略 | | situational\_awareness/network/powerview/get\_domain\_trust | 返回当前域或指定域的所有域信任 | | situational\_awareness/network/powerview/get\_fileserver | 返回从用户主目录提取的所有文件服务器的列表 | | situational\_awareness/network/powerview/get\_forest | 返回有关给定域森林的信息 | | situational\_awareness/network/powerview/get\_forest\_domain | 返回给定林的所有域 | | situational\_awareness/network/powerview/get\_gpo | 获取域中所有当前GPO的列表 | | situational\_awareness/network/powerview/get\_group | 获取域中所有当前组的列表 | | situational\_awareness/network/powerview/get\_group\_member | 返回给定组的成员 | | situational\_awareness/network/powerview/get\_localgroup | 返回本地或远程计算机上指定本地组中所有当前用户的列表 | | situational\_awareness/network/powerview/get\_loggedon | 执行NetWkstaUserEnum Win32API调用以查询主动登录主机的用户 | | situational\_awareness/network/powerview/get\_object\_acl | 返回与特定活动目录对象关联的ACL | | situational\_awareness/network/powerview/get\_ou | 获取域中所有当前OU的列表 | | situational\_awareness/network/powerview/get\_rdp\_session | 在给定的RDP远程服务中查询活动会话和原始IP | | situational\_awareness/network/powerview/get\_session | 执行NetSessionEnum Win32API调用以查询主机上的活动会话 | | situational\_awareness/network/powerview/get\_site | 获取域中所有当前站点的列表 | | situational\_awareness/network/powerview/get\_subnet | 获取域中所有当前子网的列表 | | situational\_awareness/network/powerview/get\_user | 查询给定用户或指定域中用户的信息 | | situational\_awareness/network/powerview/map\_domain\_trust | 使用.CSV输出映射所有可访问的域信任 | | situational\_awareness/network/powerview/process\_hunter | 查询远程机器的进程列表 | | situational\_awareness/network/powerview/set\_ad\_object | 使用SID，名称或SamAccountName来查询指定的域对象 | | situational\_awareness/network/powerview/share\_finder | 在域中的计算机上查找共享 | | situational\_awareness/network/powerview/user\_hunter | 查找指定组的用户登录的机器 | | ###### Trollsploit（恶作剧） | | | 模块名 | 功能 | | ------------ | ------------ | | trollsploit/get\_schwifty | 播放Schwifty视频，同时把计算机音量设置最大 | | trollsploit/message | 发送一个消息框 | | trollsploit/process\_killer | 终止以特定名称开头的任何进程 | | trollsploit/rick\_ascii | 生成一个新的powershell.exe进程运行Lee Holmes' ASCII Rick Roll | | trollsploit/rick\_astley | 运行SadProcessor's beeping rickroll | | trollsploit/thunderstruck | 播放Thunderstruck视频，同时把计算机音量设置最大 | | trollsploit/voicetroll | 通过目标上的合成语音朗读文本 | | trollsploit/wallpaper | 将.jpg图片上传到目标机器并将其设置为桌面壁纸 | | trollsploit/wlmdr | 在任务栏中显示气球提示 |