A Black Path Toward The Sun

(Tunneling TCP sur HTTP pour serveurs d'applications web)

https://www.blackhat.com/us-16/arsenal.html#a-black-path-toward-the-sun

Ben Lincoln, NCC Group, 2016

ABPTTS utilise un script client Python et une page/package[1] de serveur d'application web pour tunneler le trafic TCP sur une connexion HTTP/HTTPS vers un serveur d'application web. En d'autres termes, partout où l'on pourrait déployer un web shell, on devrait maintenant pouvoir établir un tunnel TCP complet. Cela permet de réaliser des connexions RDP, SSH interactif, Meterpreter, et autres à travers le serveur d'application web.

La communication est conçue pour être entièrement conforme aux normes HTTP, ce qui signifie qu'en plus de tunneler en entrée à travers un serveur d'application web cible, elle peut être utilisée pour établir une connexion sortante à travers des pare-feux qui inspectent les paquets.

Un certain nombre de fonctionnalités novatrices sont utilisées pour rendre la détection de son trafic difficile. En plus de son utilité pour les testeurs d'intrusion autorisés, il est conçu pour fournir aux développeurs d'IDS/WPS/WAF un exemple sûr et vivant de trafic malveillant qui échappe aux modèles de signature basés sur des motifs regex simplistes.

Un manuel complet est fourni au format PDF et guide l'utilisateur à travers une variété de scénarios de déploiement.

Cet outil est publié sous la version 2 de la GPL.

[1] Actuellement, les composants serveur JSP/WAR et ASP.NET sont inclus.

Comparer et contraster avec :

• reGeorg (https://github.com/sensepost/reGeorg)

• tunnel HTTP pour Node.js (https://github.com/johncant/node-http-tunnel)

Nommé comme une référence oblique à Cordyceps/Ophiocordyceps, par exemple : http://www.insectimages.org/browse/detail.cfm?imgnum=0014287