
هل هذا الـIP هو خادم C2؟
تأكيد أن عنوان ip:port يستضيف Empire. دعم لاحق لأنظمة C2 أخرى.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
تُكتب النتائج الناجحة إلى Stdout، بينما تُكتب جميع السجلات الأخرى إلى Stderr.
go get github.com/audibleblink/bothan
gomakemakebin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
لأغراض الاختبار أثناء تطوير هذه الأداة، شغّلتُ Empire في حالته الافتراضية أولاً، ثم خصصته. بعد ذلك، اعتمدت على خوادم مذكورة في خلاصات الاستخبارات الأمنية العامة للاختبار ضدها؛ حوالي 100.
تم التعرف على 98 منها على أنها Empire. واحدة فقط انتهت مهلتها الزمنية، والأخرى بدت معدّلة بشكل كبير.
أي أنني لم أحصل على ما أعتبره مجموعة عينات ذات دلالة إحصائية للاختبار ضدها، لذا يرجى الإبلاغ عن أي {إيجابيات/سلبيات} كاذبة تصادفها.