GitBackdorizer (BETA)

GitBackdorizer هو إثبات مفهوم، مستوحى بالكامل من محاضرة أوليسيس كاسترو 50 طن من الأبواب الخلفية، والتي تستغل عدم انتباه المستخدم لسرقة بيانات اعتماد الوصول إلى git.

كيف يعمل

يتكون GitBackdorizer من ثلاثة أجزاء: handler و dropper و payload.

Handler

يقوم handler بإعداد خادم HTTP لالتقاط بيانات الاعتماد ويقدم قائمة لتكوين حمولة dropper. توصيل dropper هو مسؤولية المهاجم.

Dropper

تم تصميم dropper ليكون بأعلى درجة ممكنة من التوافق، متجنبًا أي خاصية غير محددة في sh. يعمل عن طريق:

• تحديد إذا كان خطاف git المخترق هو خطاف pre-push أو أي خطاف آخر
• إسقاط حمولة الباب الخلفي في الخطاف المحدد
• منح صلاحية التنفيذ

Payload

تم تصميم الحمولات (payloads) أيضًا لتكون بأعلى درجة ممكنة من التوافق متجنبة خصائص غير sh. هناك حاليًا نوعان من الحمولات: النوع العام والنوع الخاص بـ pre-push.

الحمولة العامة تحاول تحديد نوع المستودع البعيد (HTTPS/SSH) عن طريق:

• التحقق من الفرع الحالي: git branch --contains HEAD
• جمع اسم المستودع البعيد للفرع (من خلال git config)
• جمع عنوان URL للمستودع البعيد للاسم البعيد (من خلال git config) ثم تتحقق مما إذا كان الرابط https أو ssh.

حمولة pre-push ستتحقق مباشرة من معلومات git المقدمة للحصول على الرابط (المعامل الثاني لخطاف pre-push).

عرض توضيحي

كيفية استخدام gitbackdorizer لاستغلال ثقة المستخدم وسرقة بيانات اعتمادهم:

GitBackdorizer - سرقة بيانات الاعتماد

تحيات

• Ulisses Castro - 50 طن من الأبواب الخلفية (https://www.slideshare.net/ulissescastro/50-ton-of-backdoors)
• Giovani Silva - كتب Infection Shell Script