audibleblink/bothan이 IP가 C2 서버인가요?
ip:port가 Empire를 호스팅하는지 확인합니다. 추후 다른 C2도 지원할 예정입니다.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
성공 결과는 Stdout으로, 그 외 모든 로그는 Stderr로 출력됩니다.
go get github.com/audibleblink/bothan
go가 있어야 합니다make가 있어야 합니다make를 실행하세요bin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
이 도구를 개발하면서 테스트하기 위해 처음에는 Empire를 기본 상태로 실행한 다음 사용자 지정했습니다. 그 후에는 공개 위협 인텔리전스 피드에 나열된 서버를 대상으로 테스트했습니다. 약 100개였습니다.
98개는 Empire로 식별되었습니다. 하나는 타임아웃되었고, 다른 하나는 크게 수정된 것으로 보였습니다.
즉, 제가 통계적으로 유의미하다고 생각하는 샘플 세트로 테스트한 것은 아니었으므로, 발견한 오탐/미탐(false positives/negatives)을 알려주시기 바랍니다.