Sticky Keys Hunter

Ce script bash POC teste les portes dérobées des touches rémanentes et d'utilman. Le script se connecte à un serveur RDP, envoie les déclencheurs des touches rémanentes et d'utilman, puis prend une capture d'écran du résultat.

Ce script a été écrit pour prouver une théorie que j'avais sur la détection de ces portes dérobées en mode boîte noire, et n'a pas été mis à jour depuis que j'ai écrit mon article de blog, Hunting Sticky Keys Backdoors. Cependant, @DennisMald et @notmedic ont poursuivi ces recherches et ont publié l'outil Sticky Keys Slayer lors de leur présentation DEF CON 24, Sticky Keys To The Kingdom. Consultez leur outil car il comporte de nombreuses améliorations par rapport à ce script POC.

Comment ça marche ?

1. Se connecte au RDP via rdesktop
2. Envoie la touche Maj 5 fois à l'aide de xdotool pour déclencher les portes dérobées sethc.exe
3. Envoie Windows+u à l'aide de xdotool pour déclencher les portes dérobées utilman.exe
4. Prend une capture d'écran
5. Tue la connexion RDP

Prérequis

1. Hôte Linux exécutant un serveur X
2. Les paquets suivants : xdotool imagemagick rdesktop bc 3. Installation Debian/Ubuntu/Kali : apt-get install xdotool imagemagick rdesktop bc
3. L'écran ne doit pas être verrouillé pendant ce processus, sinon toutes les captures d'écran seront noires.

Utilisation

Analyser un seul hôte : ./stickyKeysHunter.sh 192.168.1.10

Analyser plusieurs hôtes : for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

À faire

1. Analyser automatiquement les captures d'écran avec OCR ou traitement d'image pour identifier les portes dérobées.
2. Accélérer/multithreader l'outil.