argue 进程参数欺骗

blockdlls 阻⽌⼦进程加载⾮Microsoft DLL

browserpivot 注⼊受害者浏览器进程

bypassuac 绕过UAC提升权限

cancel 取消正在进⾏的下载

cd 切换⽬录

checkin 强制让被控端回连⼀次

clear 清除beacon内部的任务队列

connect Connect to a Beacon peer over TCP

covertvpn 部署Covert VPN客户端

cp 复制⽂件

dcsync 从DC中提取密码哈希

desktop 远程桌⾯(VNC)

dllinject 反射DLL注⼊进程

dllload 使⽤LoadLibrary将DLL加载到进程中

download 下载⽂件

downloads 列出正在进⾏的⽂件下载

drives 列出⽬标盘符

elevate 使⽤exp

execute 在⽬标上执⾏程序(⽆输出

execute-assembly 在⽬标上内存中执⾏本地.NET程序

exit 终⽌beacon会话

getprivs Enable system privileges on current token

getsystem 尝试获取SYSTEM权限

getuid 获取⽤户ID

hashdump 转储密码哈希值

help 帮助

inject 在注⼊进程⽣成会话

jobkill 结束⼀个后台任务

jobs 列出后台任务

kerberos_ccache_use 从ccache⽂件中导⼊票据应⽤于此会话

kerberos_ticket_purge 清除当前会话的票据

kerberos_ticket_use Apply 从ticket⽂件中导⼊票据应⽤于此会话

keylogger 键盘记录

kill 结束进程

link Connect to a Beacon peer over a named pipe

logonpasswords 使⽤mimikatz转储凭据和哈希值

ls 列出⽂件

make_token 创建令牌以传递凭据

mimikatz 运⾏mimikatz

mkdir 创建⼀个⽬录

mode dns 使⽤DNS A作为通信通道(仅限DNS beacon)

mode dns-txt 使⽤DNS TXT作为通信通道(仅限D beacon)

mode dns6 使⽤DNS AAAA作为通信通道(仅限DNS beacon)

mode http 使⽤HTTP作为通信通道

mv 移动⽂件

net net命令

note 备注

portscan 进⾏端⼝扫描

powerpick 通过Unmanaged PowerShell执⾏命令

powershell 通过powershell.exe执⾏命令

powershell-import 导⼊powershell脚本

ppid Set parent PID for spawned post-ex jobs

ps 显示进程列表

psexec Use a service to spawn a session on a host

psexec_psh Use PowerShell to spawn a session on a host

psinject 在特定进程中执⾏PowerShell命令

pth 使⽤Mimikatz进⾏传递哈希

pwd 当前⽬录位置

reg Query the registry

rev2self 恢复原始令牌

rm 删除⽂件或⽂件夹

rportfwd 端⼝转发

run 在⽬标上执⾏程序(返回输出)

runas 以其他⽤户权限执⾏程序

runasadmin 在⾼权限下执⾏程序

runu Execute a program under another PID

screenshot 屏幕截图

setenv 设置环境变量

shell 执⾏cmd命令

shinject 将shellcode注⼊进程

shspawn 启动⼀个进程并将shellcode注⼊其中

sleep 设置睡眠延迟时间

socks 启动SOCKS4代理

socks stop 停⽌SOCKS

spawn Spawn a session

spawnas Spawn a session as another user

spawnto Set executable to spawn processes into

spawnu Spawn a session under another PID

ssh 使⽤ssh连接远程主机

ssh-key 使⽤密钥连接远程主机

steal_token 从进程中窃取令牌

timestomp 将⼀个⽂件的时间戳应⽤到另⼀个⽂件

unlink Disconnect from parent Beacon

upload 上传⽂件

wdigest 使⽤mimikatz转储明⽂凭据

winrm 使⽤WinRM横向渗透

wmi 使⽤WMI横向渗透