audibleblink/bothanCette IP est-elle un serveur C2 ?
Confirmer qu'une adresse ip:port héberge Empire. Support éventuel pour d'autres C2.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
Les succès sont écrits sur Stdout, tous les autres journaux sur Stderr.
go get github.com/audibleblink/bothan
gomakemakebin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
Pour tester pendant le développement, j'ai d'abord exécuté Empire dans son état par défaut, puis personnalisé. Ensuite, je me suis appuyé sur des serveurs listés par des flux publics de threat intel pour tester ; environ 100.
98 ont été identifiés comme Empire. Un a simplement expiré et l'autre semblait fortement modifié.
Autrement dit, je n'avais pas ce que je considérerais comme un échantillon statistiquement pertinent pour tester, donc veuillez signaler tout {positif,négatif} erroné que vous rencontrez.