نسخة جديدة من BDFProxy صدرت! فقط للداعمين! احصل على الوصول هنا: https://github.com/sponsors/secretsquirrel

المدونة: http://secureallthethings.blogspot.com/2017/08/closing-door-end-of-backdoor-factory.html

وكيل المصنع الخلفي (BDFProxy) الإصدار v0.3.8

للمتخصصين في الأمن والباحثين فقط.

###يعمل الآن فقط مع v.0.17 >= MITMPROXY >= v.0.11

Docker:

 # sudo echo 1 > /proc/sys/net/ipv4/ip_forward  # linux
 # sudo sysctl -w net.inet.ip.forwarding=1 # macOS
 docker pull secretsquirrel/bdfproxy
 docker run -it -p 8080:8080 secretsquirrel/bdfproxy bash
 # ./bdf_proxy.py

لتثبيته على Kali:

apt-get update
apt-get install bdfproxy

Black Hat USA 2015:

فيديو: https://www.youtube.com/watch?v=OuyLzkG16Uk

ورقة بحثية: https://www.blackhat.com/docs/us-15/materials/us-15-Pitts-Repurposing-OnionDuke-A-Single-Case-Study-Around-Reusing-Nation-State-Malware-wp.pdf

DerbyCon 2014:

فيديو: http://www.youtube.com/watch?v=LjUN9MACaTs

بعد حوالي 18 دقيقة يبدأ جزء BDFProxy.

اتصل بالمطور على:

IRC:
irc.freenode.net #BDFactory 

تويتر:
@midnite_runr

يعتمد هذا البرنامج النصي على مكتبتين للاستخدام: The Backdoor Factory (BDF) و mitmProxy.

###المفهوم: تصحيح الثنائيات أثناء التحميل بأسلوب MITM.

###لماذا: لأن العديد من مواقع أدوات الأمن لا تزال تقدم الثنائيات عبر وسائل غير SSL/TLS.

إليك قائمة مختصرة:

	sysinternals.com
	Microsoft - MS Security Essentials
	تقريباً جميع شركات مكافحة الفيروسات
	Malwarebytes
	Sourceforge
	gpg4win
	Wireshark
	إلخ...

نعم، بعض هذه التطبيقات محمية بآليات فحص ذاتي. لقد كنت أعمل على طريقة لتجاوز فحوصات NSIS تلقائياً كإثبات للمفهوم. ومع ذلك، لا يمنع ذلك المشكلة الأولية المتمثلة في قلب البتات أثناء التحميل وتنفيذ حمولة ضارة. أيضاً، BDF بشكل افتراضي سيزيل مؤشر جدول شهادة PE لنظام Windows أثناء التحميل، وبالتالي إزالة التوقيع من الثنائي.

##التبعيات:

Pefile - الأحدث
ConfigObj  
mitmProxy - بناء Kali .10
BDF - الأحدث
Capstone (جزء من BDF)

##البيئة المدعومة: مُختبر على جميع إصدارات Kali Linux، سواء كان جهاز كمبيوتر محمول قوي، أو Raspberry Pi، أو VM، كلها يمكنها تشغيل BDFProxy.

##التثبيت: BDF موجود في bdf/

قم بتشغيل التالي لسحب الأحدث:

./install.sh

أو:

git clone https://github.com/secretsquirrel/the-backdoor-factory bdf/

إذا حصلت على خطأ في الشهادة، قم بتشغيل التالي:

mitmproxy

واخرج [Ctr+C] بعد تحميل mitmProxy.

##الاستخدام: قم بتحديث كل شيء قبل كل استخدام:

./update.sh

اقرأ ملف الإعدادات!!!

	-->bdfproxy.cfg

ستحتاج إلى تكوين إعدادات C2 (الخادم والمنفذ) قبل تشغيل BDFProxy. لا تتداخل إعدادات منفذ C2 بين الحمولات المختلفة. سترسل شلات لينكس إلى أجهزة ويندوز وستحدث أعطال في كل مكان. بعد التشغيل، سيتم إنشاء ملف موارد metasploit للمساعدة في إعداد اتصالات C2. تحقق منه بعناية. بالمناسبة، كل شيء خارج قسم [Overall] يتم تحديثه أثناء التشغيل، لذا لا تحتاج إلى قتل الوكيل لتغيير الإعدادات لتتناسب مع بيئتك.

لكن انتظر! ستحتاج إلى تكوين جهاز mitm الخاص بك للقيام بـ MITM! إذا كنت تستخدم wifiPineapple، فقد قمت بتعديل برنامج نصي أطلقته hack5 لمساعدتك في التهيئة. قم بتشغيل ./wpBDF.sh وأدخل الإعدادات الصحيحة لبيئتك. يقوم هذا البرنامج النصي بتكوين iptables لدفع حركة HTTP فقط (غير SSL) عبر الوكيل. يتم توجيه جميع حركة المرور الأخرى بشكل طبيعي.

ثم:

./bdf_proxy.py

إليك بعض فن ASCII الرائع للإعدادات المادية المحتملة للوكيل:

استخدام الشبكة المحلية:

	<Internet>----<mitmMachine>----<userLan>

استخدام الواي فاي:

	<Internet>----<mitmMachine>----<wifiPineapple>)))

##الاختبار:

لنفترض أنك تريد استخدام متصفحك مع فايرفوكس و FoxyProxy للاتصال لاختبار إعدادك.

	قم بتحديث الإعدادات كالتالي:
	transparentProxy = None

	قم بتكوين FoxyProxy لاستخدام BDFProxy كوكيل.
	المنفذ الافتراضي في الإعدادات هو 8080.

##التسجيل: لدينا ذلك. ستتملأ نافذة الوكيل بسرعة بكميات هائلة من روابط القطط اعتماداً على العميل الذي تختبره. استخدم tail -f proxy.log لرؤية ما يتم تصحيحه وحظره بواسطة إعدادات القائمة السوداء الخاصة بك. ومع ذلك، راقب نافذة الوكيل الرئيسية إذا اخترت تصحيح الثنائيات يدوياً، فالأمور تتحرك بسرعة وفي الخلفية هناك تعدد خيوط لحركة المرور، لكن الطلبات والاستجابات الأولية تكون مقفلة لمشاهدتك.

##سيناريوهات الهجوم (كلها بإذن من الأهداف): -نقطة وصول واي فاي ضارة -إعادة توجيه ARP -غرس مادي في غرفة التوصيلات -غرس منطقي في مزود خدمة الإنترنت المفضل لديك

##الإبلاغ عن الأخطاء

تحدث الأخطاء، لكن إذا لم أستطع فهم مشكلتك، لا أستطيع مساعدتك.

أرسل المشكلات هنا: https://github.com/secretsquirrel/BDFProxy/issues

قم بتضمين المعلومات التالية من مخرجات هذه الأوامر (استخدم pastebin للأوامر الأطول):

# يدعم bdfproxy فقط v11 -> v17
$ mitmproxy --version

$ uname -a

# استخدم pastebin ربما
$ cat bdfproxy.cfg 
$ ./bdf_proxy.py

###سجل التغييرات:

####07/04/2016

دعم لـ BDF Preprocessor و mitmProxy v17

####12/20/2015

إضافة خيارات تكوين في bdfproxy.cfg لدعم توقيع كود PE من BDF => CODE_SIGN انظر README الخاص بـ BDF للتفاصيل

####11/13/2015

إزالة تبعيات python-magic لأنه توجد مكتبتان تحملان هذا الاسم. مما يسبب ارتباكاً.

####10/19/2015

إضافة دعم لتصحيح دليل استيراد BDF داخل كهف كود بدلاً من قسم جديد. قم بتعيين IDA_IN_CAVE إلى True في ملف bdfproxy.cfg لهذا الغرض. تجريبي...

####8/12/2015

إضافة دعم لطريقة استبدال PE، استبدال الثنائي الذي تم تحميله بثنائي يقدمه المهاجم. لاستخدامها، قم بتغيير PATCH_METHOD إلى replace وقدم SUPPLIED_BINARY

####8/6/2015

إضافة دعم لـ onionduke. لاستخدامها، قم بتغيير PATCH_METHOD إلى onionduke و SUPPLIED_BINARY إلى الثنائي الذي ترغب في ربطه بالملف التنفيذي الهدف.

إضافة دعم لتعيين فحص وتصحيح requestedExecutionLevel في بيان PE كـ highestAvailable لكل من الثنائيات PE ذات بنية x86 و x86_64. قم بتعيين RUNAS_ADMIN إلى True.

إضافة دعم لتعيين ما إذا كان سيتم دعم أجهزة XP القديمة عبر علامة XP_MODE بقيمة True. يمكن أن يساعد ذلك في تجنب مضادات الفيروسات حيث قد تفشل محاكياتها إذا تم تعيين هذا الإعداد إلى FALSE.