メニュー
Monitor PhantomPi implant packet captures for credentials, NTLM hashes, Kerberos tickets, and tokens. Triggers on: credentials, hashes, creds, sniffer, captures, pcap, kerberos, ntlm, tokens, passwords.
デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。
インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。
npx skills add https://github.com/1r0ncut/PhantomPi --skill cred-snifferコマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。
ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。
Manage network pivoting through a PhantomPi implant: check pivot readiness, discover reachable internal subnets from captured traffic, set up routes through the spoofed identity on veth1, and manage Ligolo-ng agent sessions. Triggers on: pivot, ligolo, route, tunnel, reach, subnet, internal, lateral, movement, session, agent, proxy.
Check PhantomPi implant health: connectivity, interfaces, services, uptime, ports. Triggers on: status, alive, health, implant, services, uptime, interfaces, ports.
Relay routine bridge event notifications from PhantomPi implants. These are expected operational events, not incidents.
SOC 職業分類に基づく
SKILL.md を表示中
| name | cred-sniffer |
| description | Monitor PhantomPi implant packet captures for credentials, NTLM hashes, Kerberos tickets, and tokens. Triggers on: credentials, hashes, creds, sniffer, captures, pcap, kerberos, ntlm, tokens, passwords. |
| metadata | {"openclaw":{"requires":{"bins":"[Truncated]"},"os":["linux"]}} |
bash /home/openclaw/scripts/query-implant.sh /captured-creds [IMPLANT_IPS]
Omit IP for general queries; the script checks all implants automatically. Returns JSON keyed by implant IP with alive and data per implant.
Response fields: sniffer / analyzer (active/inactive), count, types, findings.
If sniffer is "inactive", tell the operator.
hashcat -m 5600 (NTLMv2) / -m 5500 (NTLMv1), or relay with ntlmrelayx.hashcat -m 18200 (AS-REP) / -m 13100 (Kerberoast).admin, root.secret field.url field when present.secret=[REDACTED] as intentional implant-side alert redaction for credentials, tokens, and hashes. Do not claim the secret was unavailable; tell the operator it remains in the implant's stored findings.Messages starting with cred-alert: are automated push notifications from the credential analyzer.
Format:
cred-alert: implant=10.8.0.3 count=2
protocol=HTTP Basic Auth | type=cleartext | user=admin | secret=[REDACTED] | src=192.168.1.50:49312 | dst=192.168.1.10:80 | url=http://app.internal/login
Discord template:
🔑 **Credentials Found** | Implant `{implant}` | {count} new
`{protocol}` {user} -> `{dst}`
`{secret}`
Per-type additions: ⚠️ before cleartext protocol, hashcat -m XXXX after ntlm/kerberos secret, 🪪 before token protocol.
Do not run scripts or add commentary beyond the template.