ABYSS C2 — Framework de Explotación para DVRs HiSilicon

⚠️ SOLO CON FINES EDUCATIVOS / DE DEMOSTRACIÓN

Este software se proporciona exclusivamente para fines educativos y de investigación de seguridad autorizada. Está diseñado para demostrar vulnerabilidades comunes de IoT y técnicas de post-explotación en un entorno controlado y autorizado.

NO DEBE utilizar este software en:

• Cualquier sistema o dispositivo que no sea de su propiedad
• Cualquier sistema o dispositivo para el que no tenga autorización explícita por escrito para realizar pruebas
• Cualquier infraestructura de producción sin aprobación previa

El creador NO asume ninguna responsabilidad u obligación por cualquier uso indebido, daño o actividad ilegal realizada con este software. Al utilizar este software, reconoce que es el único responsable de garantizar el cumplimiento de todas las leyes y regulaciones aplicables en su jurisdicción. El acceso no autorizado a sistemas informáticos es ilegal según leyes como la Ley de Fraude y Abuso Informático (CFAA) y estatutos similares en todo el mundo.

Este proyecto existe para demostrar:

• Cómo funciona CVE-2020-25078 (divulgación de información de DVRs HiSilicon)
• Debilidades de seguridad en dispositivos IoT y por qué las actualizaciones de firmware son importantes
• Técnicas de post-explotación para que los defensores comprendan las TTP de los atacantes
• La importancia de la segmentación de red y la higiene de credenciales

Si no es suyo, no lo toque.

Resumen

ABYSS C2 es un framework de Comando y Control completo construido en Python/Flask con un panel web en tiempo real de temática oscura. Demuestra la cadena de ataque completa contra dispositivos IoT (específicamente DVRs y cámaras IP basadas en HiSilicon afectados por CVE-2020-25078), desde el reconocimiento y la adquisición de objetivos hasta la explotación, post-explotación, persistencia, movimiento lateral y exfiltración de datos.

CVE-2020-25078 es una vulnerabilidad de path traversal / divulgación de información en dispositivos DVR/NVR basados en HiSilicon Hi3516/Hi3518/Hi3519. Atacantes no autenticados pueden acceder a archivos de configuración (/mnt/mtd/Config/Account*) que contienen credenciales de administrador en texto plano mediante directory traversal en el servidor HTTP.

Características

• Panel web en tiempo real — Interfaz de una sola página de temática oscura con actualizaciones en vivo mediante WebSocket, 8 pestañas operativas, terminal integrada
• Adquisición de objetivos — Obtener dispositivos vulnerables a través de las APIs de Shodan, FOFA, ZoomEye, más scraping gratuito (Censys, Onyphe, Shodan free facet, InternetDB)
• Escáner de vulnerabilidades — Escáner TCP/HTTP multihilo con soporte CIDR, identificación de DVRs, extracción de credenciales
• Post-explotación — Shell interactiva por telnet, ejecución masiva de comandos en todos los dispositivos controlados, carga de archivos
• Escaneo de vulnerabilidades web — Detección de CVEs (Log4Shell, Spring4Shell, Confluence, Ghostcat, Struts2, Jenkins, GitLab, Exchange, F5 BIG-IP, Citrix, MOVEit, Ivanti, vCenter, PHPUnit, GeoServer, Solr, WordPress) y pruebas de clases de bugs (SQLi, LFI, SSRF, XXE, Inyección de Comandos, ataques JWT, Subdomain Takeover, HTTP Smuggling, GraphQL, CORS)
• Explotación de red — SMB/EternalBlue, RDP/BlueKeep, VNC, FTP, SNMP, Redis, MongoDB, Elasticsearch, CouchDB, MySQL/MSSQL/PostgreSQL, Memcached, IPMI, Mirai-IoT
• Ataques de credenciales — Fuerza bruta multiprotocolo (Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC), spraying de credenciales, bóveda de credenciales
• Reconocimiento — Consulta/importación de ASN, reconocimiento DNS completo (A/AAAA/MX/NS/TXT/SOA + subdomain brute + AXFR), huella digital JARM TLS, detección de WAF, consulta GeoIP, escaneo de puertos con múltiples preajustes
• Persistencia — Inyección de clave pública SSH, backdoors en cron, persistencia init.d/systemd, despliegue automatizado completo
• Reverse Shells — Generador de payloads (bash, python, perl, php, nc, ruby, node, lua, etc.), listener multisesión con interacción
• Pivoting — Ejecución de cadenas multi-salto, relay TCP, proxy SOCKS5 a través de hosts comprometidos, escaneo automático de pivote en redes locales
• Orquestación de botnets — Etiquetado/agrupación de bots, comandos fan-out, comprobaciones de estado, despliegue de payloads
• Intel y notificaciones — Notificaciones por webhook de Telegram/Discord, integración con AbuseIPDB, captura de pantalla de cámaras
• Planificador — Tareas recurrentes automatizadas (escaneos, reconocimiento, comprobaciones de estado)

Arquitectura```

panel/ ├── server.py # Flask + SocketIO C2 web panel (~1200 lines, 50+ API routes) ├── database.py # SQLite ORM — 11 tables (cameras, vulns, creds, shells, DNS, ASN, etc.) ├── scanner.py # Multi-threaded TCP/HTTP vulnerability scanner ├── exploit.py # CVE-2020-25078 exploit — 37 vulnerable paths, 14 credential parsers ├── telnet_client.py # Raw telnet command execution against owned devices ├── brute.py # Multi-threaded brute force engine ├── web_exploit.py # Full website vulnerability scanner (CMS detection, exposed files, SQLi) ├── web_cves.py # CVE scanner — Log4Shell, Spring4Shell, Confluence, Ghostcat, etc. ├── web_bugs.py # Bug class scanner — SQLi, LFI, SSRF, XXE, CmdI, JWT, etc. ├── web_brute.py # Web brute force — forms, WordPress xmlrpc, Basic Auth, cred stuffing ├── network_exploit.py # Network service exploit scanner — SMB, RDP, VNC, databases, etc. ├── cred_spray.py # Multi-service credential spraying ├── recon_asn.py # ASN import, organization search, IP-to-ASN lookup ├── recon_dns.py # DNS recon — all record types, subdomain brute, zone transfer ├── recon_jarm.py # JARM TLS server fingerprinting ├── recon_waf.py # WAF detection and identification ├── recon_geoip.py # GeoIP lookup and bulk IP geolocation ├── portscan.py # TCP port scanner with banner grabbing, SYN option, multiple presets ├── persistence.py # SSH key injection, cron backdoors, full deployment ├── reverse_shell.py # Payload generator + multi-session listener ├── pivot_chain.py # Multi-hop command execution and TCP relay ├── socks_pivot.py # SOCKS5 proxy through compromised hosts ├── botnet.py # Bot grouping, fan-out commands, health checks, payload deployment ├── intel.py # Telegram/Discord webhooks, AbuseIPDB, screenshot capture ├── scheduler.py # APScheduler-based job scheduling ├── proxy_rotation.py # Proxy list rotation for stealth ├── stealth.py # Traffic obfuscation utilities ├── inject_key.py # SSH key injection variants ├── inject_ssh.py # SSH-based injection ├── launch.py # Simple launcher wrapper ├── auto_exploit.py # Automated exploitation routines ├── templates/ │ └── index.html # Dark-themed SPA — 8 tabs, real-time updates, terminal └── requirements.txt # Python dependencies

### Esquema de la base de datos

La base de datos SQLite (`cameras.db`, creada automáticamente en la primera ejecución) contiene 11 tablas:

| Tabla | Propósito |
|-------|-----------|
| `cameras` | Dispositivos comprometidos — IP, credenciales, modelo, firmware, serie, estado |
| `command_log` | Registro de auditoría completo de cada comando ejecutado y su salida |
| `scan_results` | Historial de escaneo — qué IPs fueron escaneadas y si eran vulnerables |
| `web_vulns` | Vulnerabilidades web descubiertas (CVE, gravedad, evidencia) |
| `network_vulns` | Vulnerabilidades de servicios de red descubiertas |
| `shells` | Sesiones activas de shell inversa |
| `dns_records` | Resultados de reconocimiento DNS |
| `cred_vault` | Credenciales obtenidas organizadas por servicio |
| `asn_targets` | Prefijos ASN y rangos IP importados |
| `web_targets` | Objetivos web con metadatos (estado, servidor, CMS, JARM, WAF) |
| `scan_jobs` | Seguimiento de trabajos — tipo de escaneo, objetivo, duración, conteo de resultados |
| `scan_log` | Registro de actividad a nivel de módulo para auditoría |

---

## Instalación

### Requisitos previos

- Python 3.10 o más reciente
- pip
- Git (opcional)

### Paso 1 — Clonar o descargar```bash
git clone https://github.com/YOUR_USERNAME/abyss-c2.git
cd abyss-c2

Paso 2 — Crear entorno virtual (recomendado)```bash

python -m venv venv

Windows

venv\Scripts\activate

Linux / macOS

source venv/bin/activate

### Paso 3 — Instalar dependencias```bash
pip install -r requirements.txt

Paso 4 — (Opcional) Descargar lista de palabras

Los módulos de fuerza bruta esperan una lista de palabras rockyou.txt en la raíz del proyecto. Debido a los límites de tamaño de archivo de GitHub (100MB), NO está incluida en este repositorio.```bash

On Kali Linux, rockyou.txt is typically at:

cp /usr/share/wordlists/rockyou.txt.gz . gunzip rockyou.txt.gz

Or download from SecLists:

https://github.com/danielmiessler/SecLists/blob/master/Passwords/Leaked-Databases/rockyou.txt.tar.gz

Si no necesitas fuerza bruta, los otros módulos funcionan sin una lista de palabras.

### Paso 5 — Lanzamiento```bash
python server.py

Abre http://localhost:5000 en tu navegador.

La base de datos se crea automáticamente en el primer inicio — no se necesita configuración.

Guía de uso

El Panel

Cuando abras el panel por primera vez, verás:

• Barra de estadísticas — Contadores en vivo: Escaneados, Vulnerables, Comprometidos, En línea
• 8 pestañas — Dispositivos, Reconocimiento, CVEs Web, Red, Persistencia, Rev Shells, Botnet, Configuración
• Terminal integrada — Shell interactiva a cualquier dispositivo seleccionado
• Panel lateral — Controles de escaneo, información del objetivo, comando masivo, pivote/subida/brute toolkit

Pestaña 1 — Dispositivos (Operaciones principales)

Este es tu centro de mando. Aquí puedes:

Obtener objetivos de motores de búsqueda:

• Seleccionar fuente: Shodan, FOFA, ZoomEye, o GRATIS (scraping — sin necesidad de API key)
• Ingresar clave API si usas Shodan/FOFA/ZoomEye
• Consulta personalizada o dejar en blanco para consultas DVR/cámara por defecto
• Haz clic en FETCH & SCAN — los objetivos se escanean automáticamente al llegar

Escaneo manual:

• Ingresa un rango CIDR (p. ej., 192.168.1.0/24)
• O una IP y puerto único
• Configura el número de hilos (por defecto 50)
• Haz clic en SCAN

Una vez que los dispositivos están comprometidos (aparecen en la tabla):

• Haz clic en cualquier fila para seleccionarla — los detalles aparecen en el panel lateral
• La terminal inferior se activa para ese dispositivo
• Usa los botones de comandos rápidos (CPU, UNAME, PS, IFCFG, NETSTAT, CREDS, PASSWD, LS)
• Escribe comandos personalizados en la terminal y presiona Enter

Operaciones masivas:

• Mass Command — ejecuta el mismo comando en TODOS los dispositivos comprometidos simultáneamente
• Pivot Scan — usa un dispositivo comprometido para escanear su red local en busca de más objetivos
• Upload File — sube un archivo al dispositivo remoto mediante codificación base64
• Brute — fuerza bruta de credenciales telnet en el dispositivo seleccionado

Modo de escaneo web (activar con el botón WEB):

• Ingresa una URL o IP para un escaneo completo de vulnerabilidades web
• Detección de CMS, archivos de configuración expuestos, parámetros de inyección SQL
• FETCH & SCAN obtiene objetivos web de Shodan free y los escanea

Pestaña 2 — Reconocimiento

Seis módulos de reconocimiento:

Pestaña 3 — CVEs Web

Escáner de CVE — Verifica más de 20 CVEs conocidos: Log4Shell (CVE-2021-44228), Spring4Shell (CVE-2022-22965), Confluence (CVE-2022-26134), Ghostcat (CVE-2020-1938), Struts2 (CVE-2017-5638), Jenkins (CVE-2018-1000861), GitLab (CVE-2021-22205), Exchange ProxyShell/ProxyLogon, F5 BIG-IP (CVE-2022-1388), Citrix (CVE-2019-19781), MOVEit (CVE-2023-34362), Ivanti (CVE-2024-21887), vCenter (CVE-2021-21972), PHPUnit (CVE-2017-9841), GeoServer (CVE-2024-36401), Apache Solr (CVE-2019-17558) y vulnerabilidades de plugins de WordPress.

Escáner de Clases de Bug — Prueba: Inyección SQL ciega, Inyección de comandos, Inclusión de archivos locales, Server-Side Request Forgery, XML External Entity, ataques JWT, Subdomain Takeover, HTTP Request Smuggling, introspección de GraphQL, mala configuración de CORS.

Fuerza bruta web — Cuatro modos:

• Fuerza bruta de formularios (detecta automáticamente formularios de inicio de sesión y parámetros)
• Fuerza bruta de WordPress xmlrpc
• Fuerza bruta de autenticación básica HTTP
• Credential stuffing (usa credenciales cosechadas anteriormente)

Los resultados aparecen en la tabla Vulnerabilidades descubiertas a continuación.

Pestaña 4 — Red

Escáner de Exploits de Red — Verifica servicios comunes de red en busca de vulnerabilidades conocidas: SMB (EternalBlue, SMBGhost), RDP (BlueKeep), VNC (bypass de autenticación), FTP (acceso anónimo), SNMP (comunidades por defecto), Redis (sin autenticación), MongoDB (sin autenticación), Elasticsearch (sin autenticación), CouchDB (sin autenticación), MySQL/MSSQL/PostgreSQL (credenciales por defecto), Memcached (sin autenticación), IPMI (bypass de autenticación), valores predeterminados de Mirai-IoT.

Credential Spray — Prueba credenciales cosechadas o personalizadas en múltiples servicios: Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC, o TODO a la vez.

Los resultados llenan la tabla Vulnerabilidades de Red y el Cofre de Credenciales.

Pestaña 5 — Persistencia

Tres acciones de despliegue para hosts comprometidos:

• Inyección de Clave SSH — Agrega tu clave pública a /root/.ssh/authorized_keys (o múltiples rutas)
• Backdoor Cron — Instala un trabajo cron que se comunica con tu servidor C2
• Despliegue Completo — Todas las técnicas combinadas: clave SSH + cron + persistencia init.d/systemd

Pivot Chain — Ejecuta comandos a través de múltiples hosts intermedios:``` hop1 → hop2 → hop3 → command

**SOCKS Pivot** — Inicia un proxy SOCKS5 local que enruta el tráfico a través de un dispositivo comprometido, permitiéndote usar proxychains o cualquier herramienta compatible con SOCKS para alcanzar la red interna.

### Pestaña 6 — Shells inversas

- **Generador de payload** — Selecciona el tipo de shell (bash, python, perl, php, nc, ruby, node, lua, etc.), establece LHOST/LPORT, haz clic en GENERAR — aparece el payload, haz clic para copiarlo.
- **Listener** — Inicia un listener en cualquier puerto; gestiona automáticamente múltiples conexiones simultáneas.
- **Sesiones activas** — Haz clic en cualquier sesión para interactuar, escribe comandos y haz clic en ENVIAR.
- La tabla **Todos los shells** muestra cada callback de shell inversa recibido, con su estado.

### Pestaña 7 — Botnet

Para gestionar grupos grandes de dispositivos comprometidos:

- **Comando de difusión** — Ejecuta un comando en todos los bots (opcionalmente filtrado por etiqueta).
- **Comprobación de estado** — Ping a todos los bots e informa el estado en línea/fuera de línea.
- **Etiquetar bot** — Asigna etiquetas a los bots para agruparlos (p. ej., `eu`, `cameras`, `high-value`).
- **Desplegar payload** — Envía un payload a todos los bots de un grupo de etiquetas.
- **Resumen de bots** — Muestra el recuento total, el recuento en línea y el desglose por etiqueta.

### Pestaña 8 — Configuración

- **Telegram/Discord** — Configura webhooks para notificaciones de eventos (nuevo compromiso, escaneo completado, etc.).
- **AbuseIPDB** — Consulta la reputación de IP.
- **Captura de pantalla** — Toma una captura de pantalla HTTP desde la interfaz web de una cámara.
- **Programador** — Configura tareas recurrentes (p. ej., comprobación de estado cada 3600 segundos).
- **Registro de escaneos** — Rastro de auditoría completo de todas las operaciones de módulos, filtrable por tipo de módulo.

---

## Referencia de la API

La API REST completa está disponible en `http://localhost:5000/api/`. Puntos finales clave:

| Endpoint | Method | Descripción |
|----------|--------|-------------|
| `/api/cameras` | GET | Lista todos los dispositivos comprometidos |
| `/api/cameras/<ip>` | GET | Obtiene detalles del dispositivo |
| `/api/stats` | GET | Estadísticas del panel |
| `/api/scan/start` | POST | Inicia el escáner (CIDRs, objetivos, hilos) |
| `/api/scan/stop` | POST | Detiene el escáner |
| `/api/scan/status` | GET | Estado de ejecución del escáner + estadísticas |
| `/api/exploit/check` | POST | Comprueba una IP única para CVE-2020-25078 |
| `/api/fetch_targets` | POST | Obtiene objetivos desde Shodan/FOFA/ZoomEye/Gratuito |
| `/api/web_scan` | POST | Escaneo completo de vulnerabilidades web |
| `/api/web_cves/scan` | POST | Escaneo de CVE contra un objetivo |
| `/api/web_bugs/scan` | POST | Escaneo de clases de bugs contra un objetivo |
| `/api/web_brute` | POST | Fuerza bruta web |
| `/api/network/scan` | POST | Escaneo de explotación de red |
| `/api/cred_spray` | POST | Ataque de rociado de credenciales |
| `/api/portscan` | POST | Escaneo de puertos TCP |
| `/api/recon/asn` | POST | Importación/búsqueda/consulta de ASN |
| `/api/recon/dns` | POST | Reconocimiento DNS |
| `/api/recon/jarm` | POST | Huella JARM |
| `/api/recon/waf` | POST | Detección de WAF |
| `/api/recon/geoip` | POST | Consulta GeoIP |
| `/api/persistence/deploy` | POST | Despliega persistencia (ssh_key/cron/full) |
| `/api/revshell/generate` | POST | Genera payload de shell inversa |
| `/api/revshell/listen` | POST | Inicia listener de shell inversa |
| `/api/revshell/stop` | POST | Detiene listener |
| `/api/botnet/bots` | GET | Lista de bots + resumen de grupos |
| `/api/botnet/fanout` | POST | Ejecuta comando en todos los bots |
| `/api/botnet/health` | POST | Comprobación de salud de bots |
| `/api/botnet/deploy` | POST | Despliega payload en bots |
| `/api/socks/start` | POST | Inicia proxy SOCKS5 |
| `/api/socks/stop` | POST | Detiene proxy SOCKS5 |
| `/api/intel/config` | GET/POST | Obtiene/establece configuración de notificaciones |
| `/api/intel/screenshot` | POST | Toma captura de pantalla de cámara |
| `/api/intel/notify` | POST | Envía notificación de prueba |
| `/api/scheduler/jobs` | GET | Lista tareas programadas |
| `/api/scheduler/add` | POST | Añade tarea programada |
| `/api/scheduler/remove` | POST | Elimina tarea programada |
| `/api/credentials` | GET | Bóveda de credenciales |
| `/api/web_vulns` | GET | Lista de vulnerabilidades web |
| `/api/network_vulns` | GET | Lista de vulnerabilidades de red |
| `/api/shells` | GET | Todas las sesiones de shell inversa |
| `/api/scan_log` | GET | Registro de auditoría con filtros de módulo/objetivo |
| `/api/scan_jobs` | GET | Historial de trabajos de escaneo |

Eventos WebSocket (SocketIO):
- `scanner_event` — Progreso del escáner en tiempo real (vivo, vulnerable, comprometido, estado)
- `stats_update` — Cambio en estadísticas del panel
- `cameras_list` — Actualización de la tabla de cámaras
- `new_camera` — Nuevo dispositivo comprometido
- `command_result` — Salida de comando Telnet
- `mass_result` / `mass_result_item` — Resultados de comando masivo
- `brute_event` — Progreso de fuerza bruta
- `web_cve_event` / `web_cves_done` — Progreso de escaneo de CVE
- `web_bug_event` / `web_bugs_done` — Progreso de escaneo de bugs
- `network_event` / `network_done` — Progreso de escaneo de red
- `spray_event` / `spray_done` — Progreso de rociado de credenciales
- `portscan_event` / `portscan_done` — Progreso de escaneo de puertos
- `persistence_result` — Resultado de despliegue de persistencia
- `revshell_event` — Datos/conexiones de shell inversa
- `botnet_event` / `botnet_fanout_done` — Operaciones de botnet

---

## Detalles técnicos

### Cadena de explotación CVE-2020-25078

1. **Comprobación de vida** — Conexión TCP al puerto 80
2. **Huella HTTP** — Comprueba la respuesta en busca de 15 firmas conocidas de DVR (`AppName="Hipcam"`, `hi3516`, `WEB SERVICE`, etc.)
3. **Path traversal** — Intenta 37 rutas vulnerables conocidas (`/../../../../../../../../../mnt/mtd/Config/Account1`, etc.)
4. **Extracción de credenciales** — Analiza la respuesta con 14 patrones de expresiones regulares que cubren formatos INI, XML, JSON, codificado en URL, binario, base64, delimitado por dos puntos y específicos de DVR
5. **Filtrado de basura** — Eliminación agresiva de falsos positivos (etiquetas HTML, cabeceras HTTP, palabras comunes)
6. **Caída por defecto** — Si el dispositivo es vulnerable pero no se extraen credenciales, intenta 22 pares de credenciales por defecto conocidos

### Arquitectura del escáner

- Pool de hilos con número configurable de trabajadores (por defecto 50)
- Distribución de objetivos basada en colas
- Emisión de eventos SocketIO en tiempo real a la interfaz
- Estadísticas seguras para hilos con bloqueos mutex
- Expansión de rangos CIDR con exclusión de red/broadcast
- Escaneo multipuerto (80, 8080, 443, 8443, 554, 8000, 81, 88, 8888, 37777)

---

## Descargo de responsabilidad

**ESTE SOFTWARE SE PROPORCIONA ÚNICAMENTE CON FINES EDUCATIVOS Y DE DEMOSTRACIÓN.**

Este proyecto está destinado a ser utilizado exclusivamente en pruebas de seguridad autorizadas, entornos educativos o en sistemas que poseas. Las técnicas aquí demostradas son bien conocidas en la industria de la ciberseguridad y están documentadas para ayudar a los defensores a comprender las metodologías de ataque.

**Al usar este software, aceptas que:**

1. Solo lo utilizarás en sistemas que poseas o para los que tengas autorización explícita por escrito para realizar pruebas.
2. Eres responsable de cumplir con todas las leyes locales, estatales, nacionales e internacionales aplicables.
3. El/los creador(es) y colaborador(es) de este proyecto **no asumen absolutamente ninguna responsabilidad** por:
   - Uso no autorizado o ilegal de este software
   - Daños causados por el uso o mal uso de este software
   - Consecuencias legales derivadas del uso de este software
4. Este software no ofrece ningún tipo de garantía, ya sea expresa o implícita.

**Si no estás seguro de si tu caso de uso es legal o está autorizado, NO uses este software.**

La existencia de este proyecto no constituye un estímulo para participar en actividades ilegales. Existe porque comprender las técnicas ofensivas es esencial para construir defensas efectivas.

---

## Licencia

Este proyecto se proporciona tal cual con fines educativos. Sin garantía. Sin responsabilidad. Úselo bajo su propio riesgo.

---

*Recuerda: la investigación en seguridad existe para hacer los sistemas más seguros, no para romperlos. Usa este conocimiento para defender, no para atacar.*