NorkNork - 用于识别 Empire 持久化后门的工具

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

关于：

此脚本设计用于在 Windows 系统上识别 Powershell Empire 持久化后门。
目前支持检查以下持久化方法：

• 计划任务
• 自动运行
• WMI 订阅
• 安全支持提供程序
• 轻松访问中心后门
• 计算机账户密码禁用

安装：

你可以使用 Python 2.7 运行此脚本，或下载 pyinstaller 编译的可执行文件。在 PowerShell 窗口中运行二进制文件或脚本。

用法：

运行 Python 脚本

PS C:\Users\>python norknork.py

运行二进制文件

PS C:\Users\> .\norknork.exe

将数据保存到文本文件

PS C:\Users\> .\norknork.exe > results.txt

###常见问题：

问：为什么不用 PowerShell 编写？

答：我懒得学 PowerShell。

问：这个工具能找到所有持久化方法吗？

答：不能，只限于 Powershell Empire 中的方法，且仅限通过重启保持持久性的那些。