moonwalk

Couvrez vos traces lors de l'exploitation Linux / tests d'intrusion en ne laissant aucune trace dans les journaux système et les horodatages du système de fichiers.

📖 Table des matières

• Introduction
• Fonctionnalités
• Installation
• Utilisation
• Contribution
• Licence

ℹ️ Introduction

moonwalk est un exécutable monobinaire de 400 Ko qui peut effacer vos traces lors de tests d'intrusion sur une machine Unix. Il sauvegarde l'état des journaux système avant l'exploitation et rétablit cet état, y compris les horodatages du système de fichiers après l'exploitation, ne laissant aucune trace d'un fantôme dans le shell.

⚠️ REMARQUE : Cet outil est open-source pour assister uniquement les opérations Red Team et en aucun cas l'auteur n'est responsable des répercussions causées par toute utilisation interdite de cet outil. Utilisez-le uniquement sur une machine que vous avez l'autorisation de tester.

Fonctionnalités

• Exécutable léger : Commencez rapidement avec une récupération via curl sur votre machine cible.
• Rapide : Exécute toutes les commandes de session, y compris la journalisation, l'effacement des traces et les opérations sur le système de fichiers en moins de 5 millisecondes.
• Reconnaissance : Pour enregistrer l'état des journaux système, moonwalk trouve un chemin accessible en écriture par tous et sauvegarde la session dans un répertoire caché (dot directory) qui est supprimé à la fin de la session.
• Historique du shell : Au lieu d'effacer tout le fichier d'historique, moonwalk le rétablit à son état antérieur, y compris l'invocation de moonwalk.
• Horodatages du système de fichiers : Cachez-vous de l'équipe bleue en rétablissant les horodatages d'accès/modification des fichiers à leur état initial à l'aide de la commande GET.

Installation

$ curl -L https://github.com/mufeedvh/moonwalk/releases/download/v1.0.0/moonwalk_linux -o moonwalk

(AMD x86-64)

OU

Téléchargez l'exécutable depuis Releases OU Installez avec cargo :

$ cargo install --git https://github.com/mufeedvh/moonwalk.git

Installer Rust/Cargo

Build From Source

Prérequis :

• Git
• Rust
• Cargo (installé automatiquement lors de l'installation de Rust)
• Un linker C (uniquement pour Linux, généralement préinstallé)

$ git clone https://github.com/mufeedvh/moonwalk.git
$ cd moonwalk/
$ cargo build --release

La première commande clone ce dépôt sur votre machine locale et les deux dernières commandes entrent dans le répertoire et construisent la source en mode release.

Utilisation

Une fois que vous obtenez un shell sur la machine Unix cible, démarrez une session moonwalk en exécutant cette commande :

$ moonwalk start

Pendant que vous effectuez la reconnaissance/exploitation et que vous manipulez des fichiers, obtenez la commande d'horodatage touch d'un fichier au préalable pour le rétablir après y avoir accédé/modifié :

$ moonwalk get ~/.bash_history

Après l'exploitation, effacez vos traces et fermez la session avec cette commande :

$ moonwalk finish

Et voilà !

Contribution

Façons de contribuer :

• Suggérer une fonctionnalité
• Signaler un bug
• Corriger quelque chose et ouvrir une pull request
• M'aider à documenter le code
• Faire passer le mot
• Trouver quelque chose que j'ai manqué et qui laisse une trace !

Licence

Sous licence MIT, voir LICENSE pour plus d'informations.