koi 🎏

Ce projet est ma tentative de créer un gestionnaire de shell rapide, facile à utiliser (et pourtant riche en fonctionnalités) avec une interface soignée.

Avertissement : veuillez noter que ce projet est encore en cours de développement, et que je travaille encore sur certaines des fonctionnalités clés, abordées dans cette section.

📑 Table des matières

La documentation complète se trouve dans le wiki.

Démo

[!TIP] Cette démo s'exécute avec un OS dockerisé. Si vous voulez essayer vous-même, vous pouvez utiliser les images Ubuntu ou les dockur windows

✨ Fonctionnalités

Multi-session : gérez plusieurs reverse shells simultanément. Listez, basculez et mettez en arrière-plan des sessions sans en perdre aucune.
Mise à niveau PTY : transformez un shell brut en un PTY complet (Linux via script/socat, Windows via ConPtyShell obfusqué) pour la complétion par tabulation, le transfert de Ctrl+C et le redimensionnement du terminal.
Modules : automatisez les tâches de post-exploitation, le transfert de fichiers, l'énumération, le pivoting, la collecte AD, et plus encore. Extensible facilement avec vos propres modules.
Obfuscateur : obfuscateur de payload intégré avec des techniques chaînables (XOR, hex, chaînes de format, tableau de caractères) pour échapper à Defender et aux solutions EDR.
Connexion sortante : connect ssh user@host transforme des identifiants que vous possédez déjà en une session. ssh ne fait que livrer le payload, ainsi le shell continue de vivre après la sortie de ssh.
Tunneling : tunnel start <id> <cidr> transforme un shell en pivot de couche 3 : une pile TCP en espace utilisateur sur la cible (pas de root, pas de binaire déposé, uniquement Python) avec les routes de votre côté. (docs)
Journalisation des sessions : chaque session est journalisée automatiquement. Rejouez n'importe quelle session avec koireview. (docs)
Serveur MCP : exposez vos sessions et modules à un client LLM, en lecture seule par défaut, fourni avec le cœur. (docs)
Mode diffusable : masque les adresses IP et MAC dans la sortie pour un partage d'écran sûr lors de CTF ou de démos en direct.
Signaux propres : Ctrl+Z met la session en arrière-plan, Ctrl+C envoie SIGINT à la cible distante, sans jamais tuer votre listener par accident.

[!NOTE] Il est désormais possible d'utiliser Koi à distance ! En savoir plus ici

🚧 En cours

Évasion EDR : Koi contourne les solutions EDR basiques et de niveau intermédiaire, mais des environnements plus agressifs (EDR commerciaux coûteux, réseaux fortement surveillés) peuvent encore signaler l'activité. D'autres améliorations (transport TLS, C2 HTTP) sont à l'étude.

🚀 Installation

# Recommended: stable release from PyPI
pipx install koi-handler

# From source if you want to dev your own modules
git clone https://github.com/b3rt1ng/koi
cd koi
pipx install --editable .

koifuscator est le raccourci direct vers le module d'obfuscation.

koireview est votre moyen de consulter les journaux de vos sessions.

Pour mettre à niveau :

pipx upgrade koi-handler

Plus de détails dans Getting Started.

💻 Utilisation

Démarrer l'écouteur

# Default: bind 0.0.0.0:4010
koi

# Custom host/port
koi --host 10.10.14.5 --port 9001
koi -p 9001

Une fois à l'intérieur, help liste toutes les commandes. La référence complète se trouve dans la CLI Reference, et la gestion des sessions (tags, mise en arrière-plan, mode screenable) dans Session Management.

Obtenir un shell

Envoyez un reverse shell vous-même ou en tapant payloads *interface* pour obtenir des payloads pré-générés. Notez qu'il doit s'agir d'un shell de type terminal, car Koi manipule des shs linux, des powershells et des cmd.

Contourner Windows Defender

Koi inclut un obfuscateur de payload intégré pour aider à échapper à la détection de Windows Defender. Vous pouvez enchaîner plusieurs techniques, bien que l'encodage XOR et les transformations de format soient généralement suffisants. Gardez à l'esprit qu'empiler trop de couches peut corrompre le payload et le rendre illisible par la cible.

L'obfuscateur fonctionne également pour les payloads Linux. Bien que la plupart des environnements Linux n'exécutent pas de logiciel antivirus, les one-liners bash sont couramment signalés par les solutions EDR, les règles IDS, ou surveillés par les blue teams à l'affût des motifs de reverse shell connus. Obfusquer votre payload aide à passer sous le radar dans certains environnements durcis.

Chaque technique et chaque type de payload pris en charge est listé dans Payloads & Obfuscation.

🔧 PTY Upgrade

Les shells bruts manquent de support terminal adéquat : pas de complétion par tabulation, Ctrl+C cassé, sortie altérée. La commande upgrade corrige cela :

koi> upgrade 1
  Shell #1 upgraded successfully.
koi> go 1
  # now a full PTY with proper terminal behaviour

Sous le capot

Pour Linux :

un simple pty Python est lancé

python3 -c 'import pty; pty.spawn("/bin/bash")'

avec TERM=xterm-256color et quelques informations de redimensionnement

Pour Windows :

Je ne me suis pas embêté à en faire un pour CMD, mais pour powershell la technique utilise un conptyshell obfusqué pour obtenir un shell entièrement implémenté :

1) ConPtyShell is fetched from GitHub and cached locally for offline reuse
2) All IOC identifiers are renamed to random strings (class names, method names, PS function name)
3) Distinctive C# string literals are replaced with runtime char-array constructions (no literal in compiled MSIL)
4) The obfuscated script is served over a temporary HTTP server
5) The invocation command is base64-encoded (-EncodedCommand) with IEX and IWR obfuscated via random split techniques (concat / format string / char-array), so no plaintext cmdlet names appear on the command line
6) The target connects back with a fully interactive PTY shell, registered as a new session

Chaîne de repli et détails par système d'exploitation dans Upgrading Sessions.

Koi

Populaires