audibleblink/bothanIst diese IP ein C2-Server?
Bestätige, ob eine ip:port Empire hostet. Spätere Unterstützung für andere C2s.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
Erfolge werden auf Stdout geschrieben, alle anderen Logs auf Stderr.
go get github.com/audibleblink/bothan
go installiert habenmake installiert habenmake eingebenbin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
Zum Testen während der Entwicklung habe ich Empire zunächst im Standardzustand laufen lassen und dann angepasst. Danach habe ich mich auf Server verlassen, die in öffentlichen Threat-Intelligence-Feeds gelistet sind, um dagegen zu testen; etwa 100.
98 wurden als Empire identifiziert. Einer hat einfach eine Zeitüberschreitung gehabt und der andere sah stark modifiziert aus.
Das heißt, ich hatte keinen statistisch relevanten Stichprobensatz zum Testen, wie ich finde. Bitte melde daher alle Falschpositive oder Falschnegative, die dir begegnen.