用途：分析 PowerShell Empire 后渗透框架的取证痕迹。Empire 由监听器、暂存器和代理组成，会在 Windows 事件日志中留下可检测痕迹，尤其是 PowerShell 脚本块日志（事件 ID 4104）和模块日志（事件 ID 4103）。
主要能力：识别默认启动器字符串 powershell -noP -sta -w 1 -enc 及其后的 Base64 数据；检测包含 System.Net.WebClient、DownloadData、DownloadString、FromBase64String 的暂存器指标；匹配已知模块签名 Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM；识别 HTTP 监听器配置中的默认 Empire 用户代理字符串；发现 /login/process.php、/admin/get.php 等默认暂存 URI 模式。
输出：JSON 报告，包含匹配的 IOC、解码后的 Base64 载荷、可疑事件时间线、MITRE ATT&CK 技术映射和严重性评分。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师需要结构化分析流程、验证相关攻击技术的监控覆盖。
前提条件：Python 3.9+，可访问 Windows 事件日志或导出的 EVTX 文件；通过组策略启用 PowerShell 脚本块日志（4104）；启用模块日志（4103）以获得全面覆盖。
限制：资料未提供具体安装命令、调用方式、价格或平台支持范围，暂未提供。