WebDAVC2

DERNIÈRE/VERSION ACTUELLE : 0.3

Auteur : Arno0x0x - @Arno0x0x

WebDavC2 est une preuve de concept (PoC) de l'utilisation du protocole WebDAV avec uniquement des requêtes PROPFIND pour servir de canal de communication C2 entre un agent, s'exécutant sur le système cible, et un contrôleur agissant comme le serveur C2 réel.

L'outil est distribué sous les termes de la licence GPLv3.

Informations générales

Consultez cet article de blog sur comment et pourquoi j'ai eu l'idée d'utiliser les requêtes PROPFIND de WebDAV uniquement comme canal C2 :

Wordpress:Utilisation des fonctionnalités WebDAV comme canal caché

Architecture

WebDavC2 est composé de :

• un contrôleur, écrit en Python, qui agit comme le serveur C2
• un agent, écrit en C#/.Net, s'exécutant sur le système cible, livré au système cible via divers stagers initiaux
• différentes variétés de stagers initiaux (créés à la volée au démarrage du contrôleur) utilisés pour la compromission initiale du système cible

Fonctionnalités

Principales fonctionnalités de WebDavC2 :

• Divers stagers (commande PowerShell one liner, fichier batch, différents types de macros MS-Office, fichier JScript) - ce n'est pas limité, vous pouvez facilement créer vos propres stagers, consultez le dossier templates pour avoir une idée
• Shell pseudo-interactif (avec persistance de l'environnement)
• Démarrage automatique du service WebClient, même depuis un utilisateur non privilégié en utilisant l'astuce 'pushd'

Installation et configuration

L'installation est assez simple :

• Clonez ce dépôt : git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• Placez-vous dans le dossier WebDavC2 : cd WebDavC2
• Donnez les droits d'exécution au script principal : chmod +x webDavC2.py

Pour démarrer le contrôleur, tapez simplement ./webDavC2.py.

Compilation de votre propre agent

Bien qu'il soit parfaitement acceptable d'utiliser le agent.exe fourni, vous pouvez très facilement compiler vos propres exécutables de l'agent à partir du code source fourni. Vous n'avez pas besoin d'installer Visual Studio.

• Copiez le fichier agent/agent.cs sur une machine Windows avec le framework .Net installé
• Placez-vous dans le répertoire source
• Utilisez le compilateur C# en ligne de commande .Net :
  • Pour obtenir l'exécutable standard de l'agent : C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • Pour obtenir la version debug : C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

AVERTISSEMENT

Cet outil est destiné à être utilisé de manière légale et légitime uniquement :

• soit sur vos propres systèmes comme moyen d'apprentissage, de démonstration de ce qui peut être fait et comment, ou de test de vos mécanismes de défense et de détection
• soit sur des systèmes pour lesquels vous avez été officiellement et légitimement autorisé à effectuer des évaluations de sécurité (tests d'intrusion, audits de sécurité)

En citant les auteurs d'Empire : Il n'y a aucun moyen de construire des outils offensifs utiles à l'industrie légitime de la sécurité informatique tout en empêchant simultanément les acteurs malveillants d'en abuser.

TODO

Cet outil n'est qu'une preuve de concept, ne vous attendez donc pas à une qualité de production, de plus il a certaines limitations arbitraires en termes de quantité de données pouvant être transférées de l'agent vers le contrôleur.

À ajouter :

• plus de stagers ?

À corriger :

• Augmenter la limite de taille (arbitraire) de la sortie des commandes pouvant être renvoyée au contrôleur
• J'attends des retours :)