audibleblink/bothanЭтот IP-адрес является C2-сервером?
Подтвердите, что ip:port содержит Empire. Возможная поддержка других C2.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
Успешные результаты выводятся в Stdout, все остальные логи — в Stderr.
go get github.com/audibleblink/bothan
gomakemakebin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
Для тестирования во время разработки я сначала запустил Empire в состоянии по умолчанию, а затем настроил его. После этого я полагался на серверы из публичных каналов threat intel для тестирования; около 100.
98 были идентифицированы как Empire. Один просто истек по таймауту, а другой выглядел сильно модифицированным.
То есть, у меня не было статистически значимой выборки для тестирования, поэтому сообщайте о любых ложных {положительных,отрицательных} срабатываниях, которые вы встретите.