koi 🎏

هذا المشروع هو محاولتي لصنع معالج shell سريع وسهل الاستخدام (وغني بالميزات في الوقت نفسه) بواجهة أنيقة.

إخلاء مسؤولية: يرجى ملاحظة أن هذا المشروع لا يزال قيد التطوير، وما زلت أعمل على بعض الميزات الأساسية، التي تم الحديث عنها في هذا القسم.

📑 جدول المحتويات

التوثيق الكامل موجود في الويكي.

عرض توضيحي

[!TIP] يعمل هذا العرض التوضيحي مع نظام تشغيل داخل حاوية docker. إذا أردت التجربة بنفسك، يمكنك استخدام صور Ubuntu أو dockur windows

✨ الميزات

جلسات متعددة: تعامل مع عدة reverse shells في الوقت نفسه. اعرض الجلسات وبدّل بينها وضعها في الخلفية دون فقدان أي منها.
ترقية PTY: رقِّ shell خام إلى PTY كامل (على Linux عبر script/socat، وعلى Windows عبر ConPtyShell مُموَّه) للحصول على إكمال تلقائي بـ tab، وتمرير Ctrl+C، وتغيير حجم الطرفية.
الوحدات: أتمت مهام ما بعد الاستغلال، ونقل الملفات، والاستطلاع، والتحرك الجانبي (pivoting)، وجمع بيانات AD، والمزيد. قابلة للتوسيع بسهولة بوحداتك الخاصة.
المُموِّه (Obfuscator): مُموِّه payload مدمج بتقنيات قابلة للتسلسل (XOR، hex، format strings، char-array) للتهرب من Defender وحلول EDR.
الاتصال الخارجي: connect ssh user@host يحوّل بيانات الاعتماد التي تملكها بالفعل إلى جلسة. ssh يوصّل الـ payload فقط، لذا تبقى الجلسة حية بعد خروج ssh.
النفق (Tunneling): tunnel start <id> <cidr> يحوّل shell إلى نقطة تحوّل Layer 3: مكدس TCP في مساحة المستخدم على الهدف (بدون root، بدون إسقاط ملف ثنائي، Python فقط) مع المسارات على جهتك. (التوثيق)
تسجيل الجلسات: تُسجَّل كل جلسة تلقائيًا. أعد تشغيل أي جلسة باستخدام koireview. (التوثيق)
خادم MCP: اعرض جلساتك ووحداتك لعميل LLM، للقراءة فقط افتراضيًا، ومضمّن في النواة. (التوثيق)
وضع Screenable: يحجب عناوين IP وعناوين MAC من المخرجات لمشاركة الشاشة بأمان أثناء CTFs أو العروض المباشرة.
إشارات نظيفة: Ctrl+Z يضع الجلسة في الخلفية، وCtrl+C يرسل SIGINT إلى الطرف البعيد، ولا يقتل المستمع لديك عن طريق الخطأ أبدًا.

[!NOTE] أصبح من الممكن الآن استخدام Koi عن بُعد ! اقرأ المزيد هنا

🚧 قيد العمل

التهرب من EDR: يتجاوز Koi حلول EDR العادية والمتوسطة، لكن البيئات الأكثر عدوانية (EDR تجاري مكلف، شبكات مراقَبة بشدة) قد لا تزال ترصد النشاط. هناك تحسينات إضافية قيد الدراسة (نقل TLS، HTTP C2).

🚀 التثبيت

# Recommended: stable release from PyPI
pipx install koi-handler

# From source if you want to dev your own modules
git clone https://github.com/b3rt1ng/koi
cd koi
pipx install --editable .

koifuscator هو الاختصار المباشر لوحدة التمويه.

koireview هو طريقتك لعرض سجلات جلساتك.

للترقية:

pipx upgrade koi-handler

مزيد من التفاصيل في البدء.

💻 الاستخدام

تشغيل المستمع

# Default: bind 0.0.0.0:4010
koi

# Custom host/port
koi --host 10.10.14.5 --port 9001
koi -p 9001

بمجرد الدخول، يسرد help كل الأوامر. المرجع الكامل موجود في مرجع CLI، وإدارة الجلسات (الوسوم، الوضع في الخلفية، وضع Screenable) في إدارة الجلسات.

التقاط shell

أرسل reverse shell بنفسك أو بكتابة payloads *interface* للحصول على payloads مُولَّدة مسبقًا. لاحظ أنه يجب أن يكون shell يشبه الطرفية، لأن Koi يتعامل مع linux shs وpowershells وcmd.

تجاوز Windows Defender

يتضمن Koi مُموِّه payload مدمجًا للمساعدة في التهرب من كشف Windows Defender. يمكنك تسلسل عدة تقنيات معًا، رغم أن ترميز XOR وتحويلات التنسيق عادةً ما تكون كافية. ضع في اعتبارك أن تكديس طبقات كثيرة جدًا قد يُفسد الـ payload ويجعله غير قابل للقراءة من قبل الهدف.

يعمل المُموِّه أيضًا مع payloads الخاصة بـ Linux. وبينما لا تشغّل معظم بيئات Linux برامج مكافحة الفيروسات، فإن bash one-liners غالبًا ما تُرصد بواسطة حلول EDR أو قواعد IDS أو تُراقَب من قبل الفرق الزرقاء التي تبحث عن أنماط reverse shell المعروفة. يساعد تمويه الـ payload في التحرك تحت الرادار في بعض البيئات المُحصَّنة.

كل تقنية وكل نوع payload مدعوم مُدرَجان في Payloads & Obfuscation.

🔧 ترقية PTY

تفتقر الـ shells الخام إلى دعم طرفية مناسب: لا إكمال تلقائي بـ tab، وCtrl+C معطّل، ومخرجات مشوّهة. أمر upgrade يصلح هذا:

koi> upgrade 1
  Shell #1 upgraded successfully.
koi> go 1
  # now a full PTY with proper terminal behaviour

تحت الغطاء

بالنسبة لـ linux:

يتم إنشاء python pty بسيط

python3 -c 'import pty; pty.spawn("/bin/bash")'

مع TERM=xterm-256color وبعض معلومات تغيير الحجم

بالنسبة لـ windows:

لم أُكلّف نفسي عناء صنع واحد لـ CMD، لكن بالنسبة لـ powershell تستخدم التقنية conptyshell مُموَّهًا للحصول على shell مُنفَّذ بالكامل:

1) ConPtyShell is fetched from GitHub and cached locally for offline reuse
2) All IOC identifiers are renamed to random strings (class names, method names, PS function name)
3) Distinctive C# string literals are replaced with runtime char-array constructions (no literal in compiled MSIL)
4) The obfuscated script is served over a temporary HTTP server
5) The invocation command is base64-encoded (-EncodedCommand) with IEX and IWR obfuscated via random split techniques (concat / format string / char-array), so no plaintext cmdlet names appear on the command line
6) The target connects back with a fully interactive PTY shell, registered as a new session

سلسلة الاحتياط وتفاصيل كل نظام تشغيل في ترقية الجلسات.

🧠 MCP

يمكن لـ Koi عرض جلساته ووحداته عبر MCP، بحيث يمكن لعميل LLM قراءة جدول جلساتك وتشغيل الوحدات دون أن تنسخ وتلصق أي شيء.

# read-only: sessions, modules and logs
koi --mcp

# lets the model run commands and modules on targets
koi --mcp --mcp-allow-exec

يعمل الخادم داخل عملية المستمع ويربط 127.0.0.1:7331، محميًا برمز bearer يُطبَع عند بدء التشغيل. وضع القراءة فقط هو الافتراضي عن قصد.

[!WARNING] مع --mcp-allow-exec يمكن لـ LLM تشغيل أوامر على كل جهاز تملك عليه shell. تحتوي سجلات الجلسات على مخرجات من أجهزة مخترَقة، وهي نص يتحكم فيه المهاجم ويدخل مباشرة إلى سياق النموذج.

الإعداد وتكوين العميل وقائمة الأدوات الكاملة في توثيق MCP.

الأكثر شعبية

Koi