# 模块 **Collection（信息采集）** | 模块名 | 功能 | | -------------------------------------------------- | ------------------------------------------------------------------------------- | | collection/ChromeDump | 收集chrome浏览器保存的密码和浏览历史记录 | | collection/FoxDump | 收集Firefox浏览器保存的密码和浏览历史记录 | | collection/USBKeylogger\* | 利用ETW作为键盘记录 | | collection/WebcamRecorder | 从摄像头捕获视频 | | collection/browser\_data | 搜索浏览器历史记录或书签 | | collection/clipboard\_monitor | 按指定的时间间隔监视剪贴板 | | collection/file\_finder | 查找域中的敏感文件 | | collection/find\_interesting\_file | 查找域中的敏感文件 | | collection/get\_indexed\_item | 获取Windows desktop search索引文件 | | collection/get\_sql\_column\_sample\_data | 从目标SQL Server返回列信息。 | | collection/get\_sql\_query | 在目标SQL服务器上执行查询 | | collection/inveigh | Windows PowerShell LLMNR/mDNS/NBNS中间人工具 | | collection/keylogger | 键盘记录到keystrokes.txt文件中，文件位置/downloads/agentname/keystrokes.txt/agentname | | collection/minidump | 进程的全内存转储，PowerSploit的Out-Minidump.ps1 | | collection/netripper | 将NetRipper注入目标进程，该进程使用API挂钩以拦截来自低特权用户的网络流量和与加密相关的功能，从而能够在加密之前/解密之后捕获纯文本流量和加密流量。 | | collection/ninjacopy\* | 通过读取原始卷并解析NTFS结构，从NTFS分区卷中复制文件。 | | collection/packet\_capture\* | 使用netsh在主机上启动数据包捕获。 | | collection/prompt | 提示当前用户在表单框中输入其凭据，然后返回结果。 | | collection/screenshot | 屏幕截图 | | collection/vaults/add\_keepass\_config\_trigger | 寻找KeePass配置 | | collection/vaults/find\_keepass\_config | 此模块查找并解析KeePass.config.xml (2.X)和KeePass.config.xml (1.X)文件。 | | collection/vaults/get\_keepass\_config\_trigger | 该模块从KeePass 2.X配置XML文件中提取触发器说明 | | collection/vaults/keethief | 此模块检索未锁定的KeePass数据库的database mastey key信息 | | collection/vaults/remove\_keepass\_config\_trigger | 该模块从Find-KeePassConfig找到的所有KeePass配置中删除所有触发器 | ``` >usemodule collection/ tab补齐查看模块 >usemodule collection/screenshot 获取当前桌面截图，文件存储在./Empire/download/agent名字/screenshot >usemodule collection/keylogger 键盘记录，文件存储在./Empire/download/agent名字/agent.log >usemodule situational_awareness/host/winenum 查看当前用户、AD组、剪切板内容、系统版本、共享、网络信息、防火墙规则 >usemodule situational_awareness/network/powerview/share_finder 列出域内所有共享 >usemodule situational_awareness/network/arpscan >set Range 192.168.0.1-192.168.0.100 ARP扫描，需设置扫描网段区间 >usemodule situational_awareness/network/portscan >set Hosts 192.168.0.1-192.168.0.100 端口扫描，需设置IP或IP段 >usemodule situational_awareness/network/reverse_dns DNS信息，需设置IP >set Range 192.168.0.1-192.168.0.100 >usemodule situational_awareness/network/powerview/get_domain_controller 查找域控 ``` **Code\_execution（代码执行）** | 模块名 | 功能 | | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------ | | code\_execution/invoke\_dllinjection | 使用PowerSploit的Invoke-DLLInjection将Dll注入您选择的进程ID。 | | code\_execution/invoke\_metasploitpayload | 生成一个新的隐藏PowerShell窗口，该窗口下载并执行Metasploit Payload。这与Metasploit模块theexploit/multi/scripts/web\_delivery互动 | | code\_execution/invoke\_ntsd | 使用NT Symbolic Debugger执行Empire launcher代码 | | code\_execution/invoke\_reflectivepeinjection | 使用PowerSploit的Invoke-ReflectivePEInjection进行反射PE注入，将DLL/EXE加载进PowerShell进程中，或者将DLL加载进远程进程中 | | code\_execution/invoke\_shellcode | 使用PowerSploit的Invoke--Shellcode注入Shellcode | | code\_execution/invoke\_shellcodemsil | 执行shellcode | | ##### Credentials（身份凭证） | | | 模块名 | 功能 | | ------------ | ------------ | | credentials/credential\_injection\* | 运行PowerSploit的Invoke-CredentialInjection创建具有明文凭证的登录，而不会触发事件ID 4648使用显式凭据尝试登录 | | credentials/enum\_cred\_store | 从Windows凭据管理器中转储当前交互用户的纯文本凭据 | | credentials/invoke\_kerberoast | 为具有非空服务主体名称（SPN）的所有用户请求kerberos票据，并将其提取为John或Hashcat可用格式 | | credentials/powerdump\* | 使用Posh-SecMod的Invoke-PowerDump从本地系统中转储哈希 | | credentials/sessiongopher | 提取WinSCP已保存的会话和密码 | | credentials/tokens | 运行PowerSploit的Invoke-TokenManipulation枚举可用的登录令牌，并使用它们创建新的进程 | | credentials/vault\_credential\* | 运行PowerSploit的Get-VaultCredential以显示Windows Vault凭证对象，包括明文Web凭证 | | credentials/mimikatz/cache\* | 运行PowerSploit的Invoke-Mimikatz函数以提取MSCache(v2) hashes | | credentials/mimikatz/certs\* | 运行PowerSploit的Invoke-Mimikatz函数将所有证书提取到本地目录 | | credentials/mimikatz/command\* | 使用自定义命令运行PowerSploit的Invoke-Mimikatz函数 | | credentials/mimikatz/dcsync | 运行PowerSploit的Invoke-Mimikatz函数，以通过Mimikatz的lsadump::dcsync模块提取给定的帐户密码 | | credentials/mimikatz/dcsync\_hashdump | 运行PowerSploit的Invoke-Mimikatz函数，以使用Mimikatz的lsadump::dcsync模块收集所有域哈希 | | credentials/mimikatz/extract\_tickets | 运行PowerSploit的Invoke-Mimikatz函数，以base64编码形式从内存中提取kerberos票据 | | credentials/mimikatz/golden\_ticket | 运行PowerSploit的Invoke-Mimikatz函数以生成黄金票据并将其注入内存 | | credentials/mimikatz/keys\* | 运行PowerSploit的Invoke-Mimikatz函数以将所有密钥提取到本地目录 | | credentials/mimikatz/logonpasswords\* | 运行PowerSploit的Invoke-Mimikatz函数以从内存中提取纯文本凭据。 | | credentials/mimikatz/lsadump\* | 运行PowerSploit的Invoke-Mimikatz函数以从内存中提取特定的用户哈希。 在域控制器上很有用。 | | credentials/mimikatz/mimitokens\* | 运行PowerSploit的Invoke-Mimikatz函数以列出或枚举令牌。 | | credentials/mimikatz/pth\* | 运行PowerSploit的Invoke-Mimikatz函数以执行sekurlsa::pth来创建一个新进程。 | | credentials/mimikatz/purge | 运行PowerSploit的Invoke-Mimikatz函数从内存中清除所有当前的kerberos票据 | | credentials/mimikatz/sam\* | 运行PowerSploit的Invoke-Mimikatz函数从安全帐户管理器（SAM）数据库中提取哈希 | | credentials/mimikatz/silver\_ticket | 运行PowerSploit的Invoke-Mimikatz函数，以生成服务器/服务的白银票据并将其注入内存。 | | credentials/mimikatz/trust\_keys\* | 运行PowerSploit的Invoke-Mimikatz函数，从域控制器中提取域信任密钥。 | | ##### Exfiltration（数据窃取） | | | 模块名 | 功能 | | ------------ | ------------ | | exfiltration/egresscheck | 可用于帮助检查主机与客户端系统之间的出口，详细信息： | | exfiltration/exfil\_dropbox | 下载文件到dropbox | | ##### Exploitation（漏洞利用EXP） | | | 模块名 | 功能 | | ------------ | ------------ | | exploitation/exploit\_eternalblue | MS17\_010永恒之蓝漏洞利用 | | exploitation/exploit\_jboss | Jboss漏洞利用 | | exploitation/exploit\_jenkins | 在未授权访问的Jenkins脚本控制台上运行命令 | | ##### Lateral\_movement（横向移动） | | | 模块名 | 功能 | | ------------ | ------------ | | lateral\_movement/inveigh\_relay | smb中继攻击 | | lateral\_movement/invoke\_dcom | 使用DCOM在远程主机上执行stager | | lateral\_movement/invoke\_executemsbuild | 该模块利用WMI和MSBuild编译并执行一个包含Empire launcher的xml文件。 | | lateral\_movement/invoke\_psexec | PsExec横向移动 | | lateral\_movement/invoke\_psremoting | 远程PowerShell横向移动 | | lateral\_movement/invoke\_smbexec | SMBExec横向移动 | | lateral\_movement/invoke\_sqloscmd | 利用xp\_cmdshell横向移动 | | lateral\_movement/invoke\_sshcommand | 利用SSH横向移动 | | lateral\_movement/invoke\_wmi | 利用WMI横向移动 | | lateral\_movement/invoke\_wmi\_debugger | 使用WMI将远程机器上的二进制文件的调试器设置为cmd.exe或stager | | lateral\_movement/jenkins\_script\_console | 利用未授权访问的Jenkins脚本控制台横向移动 | | lateral\_movement/new\_gpo\_immediate\_task | 利用GPO中的计划任务横向移动 | | ##### Management（管理） | | | 模块名 | 功能 | | ------------ | ------------ | | management/enable\_rdp\* | 在远程计算机上启用RDP并添加防火墙例外。 | | management/disable\_rdp\* | 在远程计算机上禁用RDP | | management/downgrade\_account | 在给定的域帐户上设置可逆加密，然后强制下次用户登录时设置密码。 | | management/enable\_multi\_rdp\* | 允许多个用户建立同时的RDP连接。 | | management/get\_domain\_sid | 返回当前指定域的SID | | management/honeyhash\* | 将人工凭证注入到LSASS | | management/invoke\_script | 运行自定义脚本 | | management/lock | 锁定工作站的显示 | | management/logoff | 从计算机上注销当前用户（或所有用户） | | management/psinject | 利用Powershell注入Stephen Fewer形成的ReflectivePick，该ReflectivePick在远程过程中从内存执行PS代码 | | management/reflective\_inject | 利用Powershell注入Stephen Fewer形成的ReflectivePick，该ReflectivePick在远程过程中从内存执行PS代码 | | management/restart | 重新启动指定的机器 | | management/runas | 绕过GPO路径限制 | | management/shinject | 将PIC Shellcode Payload注入目标进程 | | management/sid\_to\_user | 将指定的域sid转换为用户 | | management/spawn | 在新的powershell.exe进程中生成新agent | | management/spawnas | 使用指定的登录凭据生成agent | | management/switch\_listener | 切换listener | | management/timestomp | 通过'调用Set-MacAttribute执行类似耗时的功能 | | management/user\_to\_sid | 将指定的domain\user转换为domain sid | | management/vnc | Invoke-Vnc在内存中执行VNC代理并启动反向连接 | | management/wdigest\_downgrade\* | 将计算机上的wdigest设置为使用显式凭据 | | management/zipfolder | 压缩目标文件夹以供以后渗透 | | management/mailraider/disable\_security | 此函数检查ObjectModelGuard | | management/mailraider/get\_emailitems | 返回指定文件夹的所有项目 | | management/mailraider/get\_subfolders | 返回指定顶级文件夹中所有文件夹的列表 | | management/mailraider/mail\_search | 在给定的Outlook文件夹中搜索项目 | | management/mailraider/search\_gal | 返回与指定搜索条件匹配的所有exchange users | | management/mailraider/send\_mail | 使用自定义或默认模板将电子邮件发送到指定地址。 | | management/mailraider/view\_email | 选择指定的文件夹，然后在指定的索引处输出电子邮件项目 | | ##### Persistence（持久化） | | | 模块名 | 功能 | | ------------ | ------------ | | persistence/elevated/registry\* | 计算机启动项持久化，通过HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Run进行持久化，运行一个stager或者脚本 | | persistence/elevated/schtasks\* | 计划任务持久化 | | persistence/elevated/wmi\* | WMI事件订阅持久化 | | persistence/elevated/wmi\_updater\* | WMI订阅持久化 | | persistence/misc/add\_netuser | 将域用户或本地用户添加到当前（或远程）计算机 | | persistence/misc/add\_sid\_history\* | 运行PowerSploit的Invoke-Mimikatz函数以执行misc::addsid以添加用户的sid历史记录。 仅适用于域控制器 | | persistence/misc/debugger\* | 将指定目标二进制文件的调试器设置为cmd.exe | | persistence/misc/disable\_machine\_acct\_change\* | 禁止目标系统的机器帐户自动更改其密码 | | persistence/misc/get\_ssps | 枚举所有已加载的安全软件包 | | persistence/misc/install\_ssp\* | 安装安全支持提供程序dll | | persistence/misc/memssp\* | 运行PowerSploit的Invoke-Mimikatz函数以执行misc::memssp，将所有身份验证事件记录到C:\Windows\System32\mimisla.log | | persistence/misc/skeleton\_key\* | 运行PowerSploit的Invoke-Mimikatz函数来执行misc::skeleton，植入密码mimikatz的万能钥匙。 仅适用于域控制器 | | persistence/powerbreach/deaduser | DeadUserBackdoor后门，详细信息： | | persistence/powerbreach/eventlog\* | 启动事件循环后门 | | persistence/powerbreach/resolver | 启动解析器后门 | | persistence/userland/backdoor\_lnk | LNK文件后门 | | persistence/userland/registry | 计算机启动项持久化，通过HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Run进行持久化，运行一个stager或者脚本 | | persistence/userland/schtasks | 计划任务持久化 | | ##### Privesc（权限提升） | | | 模块名 | 功能 | | ------------ | ------------ | | privesc/ask | 弹出一个对话框，询问用户是否要以管理员身份运行powershell | | privesc/bypassuac | UAC bypass | | privesc/bypassuac\_env | UAC bypass | | privesc/bypassuac\_eventvwr | UAC bypass | | privesc/bypassuac\_fodhelper | UAC bypass | | privesc/bypassuac\_sdctlbypass | UAC bypass | | privesc/bypassuac\_tokenmanipulation | UAC bypass | | privesc/bypassuac\_wscript | UAC bypass | | privesc/getsystem\* | 获取system特权 | | privesc/gpp | 利用windows组策略首选项缺陷获取系统帐号 | | privesc/mcafee\_sitelist | 寻找McAfee SiteList.xml文件的纯文本密码 | | privesc/ms16-032 | MS16-032本地提权 | | privesc/ms16-135 | MS16-135本地提权 | | privesc/tater | 利用PowerShell实现的Hot Potato提权 | | privesc/powerup/allchecks | 检查目标主机的攻击向量以进行权限提升 | | privesc/powerup/find\_dllhijack | 查找通用的.DLL劫持 | | privesc/powerup/service\_exe\_restore | 还原备份的服务二进制文件 | | privesc/powerup/service\_exe\_stager | 备份服务的二进制文件，并用启动stager.bat的二进制文件替换原始文件 | | privesc/powerup/service\_exe\_useradd | 修改目标服务以创建本地用户并将其添加到本地管理员 | | privesc/powerup/service\_stager | 修改目标服务以执行Empire stager | | privesc/powerup/service\_useradd | 修改目标服务以创建本地用户并将其添加到本地管理员 | | privesc/powerup/write\_dllhijacker | 将可劫持的.dll以及.dll调用的stager.bat一起写到指定路径。 wlbsctrl.dll在Windows 7上运行良好。需要重新启动计算机 | | ##### Recon（侦察） | | | 模块名 | 功能 | | ------------ | ------------ | | recon/find\_fruit | 在网络范围内搜索潜在的易受攻击的Web服务 | | recon/get\_sql\_server\_login\_default\_pw | 发现在当前广播域之内的SQL Server实例 | | recon/http\_login | 针对基本身份验证测试凭据 | | ##### Situational\_awareness（态势感知） | | | 模块名 | | | ------------ | ------------ | | situational\_awareness/host/antivirusproduct | 获取防病毒产品信息 | | situational\_awareness/host/computerdetails\* | 枚举有关系统的有用信息 | | situational\_awareness/host/dnsserver | 枚举系统使用的DNS服务器 | | situational\_awareness/host/findtrusteddocuments | 该模块将枚举适当的注册表 | | situational\_awareness/host/get\_pathacl | 枚举给定文件路径的ACL | | situational\_awareness/host/get\_proxy | 枚举当前用户的代理服务器和WPAD内容 | | situational\_awareness/host/get\_uaclevel | 枚举UAC级别 | | situational\_awareness/host/monitortcpconnections | 监视主机与指定域名或IPv4地址的TCP连接，对于会话劫持和查找与敏感服务进行交互的用户很有用 | | situational\_awareness/host/paranoia\* | 持续检查运行过程中是否存在可疑用户 | | situational\_awareness/host/winenum | 收集有关主机和当前用户上下文的相关信息 | | situational\_awareness/network/arpscan | 针对给定范围的IPv4 IP地址执行ARP扫描 | | situational\_awareness/network/bloodhound | 执行BloodHound数据收集 | | situational\_awareness/network/get\_exploitable\_system | 查询Active Directory以查找可能容易受到Metasploit Exploit的系统 | | situational\_awareness/network/get\_spn | 获取服务主体名称（SPN） | | situational\_awareness/network/get\_sql\_instance\_domain | 返回SQL Server实例列表 | | situational\_awareness/network/get\_sql\_server\_info | 从目标SQL Server返回基本服务器和用户信息 | | situational\_awareness/network/portscan | 使用常规套接字进行简单的端口扫描 | | situational\_awareness/network/reverse\_dns | 执行给定IPv4 IP范围的DNS反向查找 | | situational\_awareness/network/smbautobrute | 针对用户名/密码列表运行SMB暴力破解 | | situational\_awareness/network/smbscanner | 在多台机器上测试用户名/密码组合 | | situational\_awareness/network/powerview/find\_foreign\_group | 枚举给定域的组的所有成员，并查找不在查询域中的用户 | | situational\_awareness/network/powerview/find\_foreign\_user | 枚举在其主域之外的组中的用户 | | situational\_awareness/network/powerview/find\_gpo\_computer\_admin | 获取计算机（或GPO）对象，并确定哪些用户/组对该对象具有管理访问权限 | | situational\_awareness/network/powerview/find\_gpo\_location | 获取用户名或组名，并确定其具有通过GPO进行管理访问的计算机 | | situational\_awareness/network/powerview/find\_localadmin\_access | 在当前用户具有“本地管理员”访问权限的本地域上查找计算机 | | situational\_awareness/network/powerview/find\_managed\_security\_group | 此功能检索域中的所有安全组 | | situational\_awareness/network/powerview/get\_cached\_rdpconnection | 使用远程注册表功能来查询计算机上“ Windows远程桌面连接客户端”的所有信息 | | situational\_awareness/network/powerview/get\_computer | 查询当前计算机对象的域 | | situational\_awareness/network/powerview/get\_dfs\_share | 返回给定域的所有容错分布式文件系统的列表 | | situational\_awareness/network/powerview/get\_domain\_controller | 返回当前域或指定域的域控制器 | | situational\_awareness/network/powerview/get\_domain\_policy | 返回给定域或域控制器的默认域或DC策略 | | situational\_awareness/network/powerview/get\_domain\_trust | 返回当前域或指定域的所有域信任 | | situational\_awareness/network/powerview/get\_fileserver | 返回从用户主目录提取的所有文件服务器的列表 | | situational\_awareness/network/powerview/get\_forest | 返回有关给定域森林的信息 | | situational\_awareness/network/powerview/get\_forest\_domain | 返回给定林的所有域 | | situational\_awareness/network/powerview/get\_gpo | 获取域中所有当前GPO的列表 | | situational\_awareness/network/powerview/get\_group | 获取域中所有当前组的列表 | | situational\_awareness/network/powerview/get\_group\_member | 返回给定组的成员 | | situational\_awareness/network/powerview/get\_localgroup | 返回本地或远程计算机上指定本地组中所有当前用户的列表 | | situational\_awareness/network/powerview/get\_loggedon | 执行NetWkstaUserEnum Win32API调用以查询主动登录主机的用户 | | situational\_awareness/network/powerview/get\_object\_acl | 返回与特定活动目录对象关联的ACL | | situational\_awareness/network/powerview/get\_ou | 获取域中所有当前OU的列表 | | situational\_awareness/network/powerview/get\_rdp\_session | 在给定的RDP远程服务中查询活动会话和原始IP | | situational\_awareness/network/powerview/get\_session | 执行NetSessionEnum Win32API调用以查询主机上的活动会话 | | situational\_awareness/network/powerview/get\_site | 获取域中所有当前站点的列表 | | situational\_awareness/network/powerview/get\_subnet | 获取域中所有当前子网的列表 | | situational\_awareness/network/powerview/get\_user | 查询给定用户或指定域中用户的信息 | | situational\_awareness/network/powerview/map\_domain\_trust | 使用.CSV输出映射所有可访问的域信任 | | situational\_awareness/network/powerview/process\_hunter | 查询远程机器的进程列表 | | situational\_awareness/network/powerview/set\_ad\_object | 使用SID，名称或SamAccountName来查询指定的域对象 | | situational\_awareness/network/powerview/share\_finder | 在域中的计算机上查找共享 | | situational\_awareness/network/powerview/user\_hunter | 查找指定组的用户登录的机器 | | ###### Trollsploit（恶作剧） | | | 模块名 | 功能 | | ------------ | ------------ | | trollsploit/get\_schwifty | 播放Schwifty视频，同时把计算机音量设置最大 | | trollsploit/message | 发送一个消息框 | | trollsploit/process\_killer | 终止以特定名称开头的任何进程 | | trollsploit/rick\_ascii | 生成一个新的powershell.exe进程运行Lee Holmes' ASCII Rick Roll | | trollsploit/rick\_astley | 运行SadProcessor's beeping rickroll | | trollsploit/thunderstruck | 播放Thunderstruck视频，同时把计算机音量设置最大 | | trollsploit/voicetroll | 通过目标上的合成语音朗读文本 | | trollsploit/wallpaper | 将.jpg图片上传到目标机器并将其设置为桌面壁纸 | | trollsploit/wlmdr | 在任务栏中显示气球提示 | --- # Agent Instructions: Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter: ``` GET https://www.heresecurity.wiki/nei-wang-he-yu/ming-ling-yu-kong-zhi/empire/mo-kuai.md?ask= ``` The question should be specific, self-contained, and written in natural language. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.