Framework C2 full-stack per lo sfruttamento dell'IoT (CVE-2020-25078) con pannello web in tempo reale, acquisizione di target multi-fonte, scansione delle vulnerabilità, post-exploitation, persistenza, movimento laterale e orchestrazione di botnet.
⚠️ SOLO A SCOPO EDUCATIVO / DIMOSTRATIVO
Questo software è fornito esclusivamente per scopi educativi e di ricerca sulla sicurezza autorizzata. È progettato per dimostrare vulnerabilità IoT comuni e tecniche di post-exploitation in un ambiente controllato e autorizzato.
NON devi utilizzare questo software su:
- Qualsiasi sistema o dispositivo che non possiedi
- Qualsiasi sistema o dispositivo per cui non hai esplicita autorizzazione scritta a testare
- Qualsiasi infrastruttura di produzione senza previa approvazione
Il creatore NON si assume alcuna responsabilità per qualsiasi uso improprio, danno o attività illegale condotta con questo software. Utilizzando questo software, riconosci di essere l'unico responsabile di garantire la conformità a tutte le leggi e i regolamenti applicabili nella tua giurisdizione. L'accesso non autorizzato a sistemi informatici è illegale ai sensi di leggi come il Computer Fraud and Abuse Act (CFAA) e normative simili in tutto il mondo.
Questo progetto esiste per dimostrare:
- Come funziona CVE-2020-25078 (divulgazione di informazioni del DVR HiSilicon)
- Le debolezze di sicurezza dei dispositivi IoT e perché gli aggiornamenti del firmware sono importanti
- Le tecniche di post-exploitation così che i difensori comprendano le TTP degli attaccanti
- L'importanza della segmentazione di rete e dell'igiene delle credenziali
Se non lo possiedi, non toccarlo.
ABYSS C2 è un framework Command & Control full-stack costruito in Python/Flask con un pannello web a tema scuro in tempo reale. Dimostra l'intera catena di attacco contro i dispositivi IoT (in particolare DVR e telecamere IP basati su HiSilicon affetti da CVE-2020-25078) — dalla ricognizione e acquisizione dei target fino allo sfruttamento, post-exploitation, persistenza, movimento laterale ed esfiltrazione dei dati.
La CVE-2020-25078 è una vulnerabilità di path traversal / divulgazione di informazioni nei dispositivi DVR/NVR basati su HiSilicon Hi3516/Hi3518/Hi3519. Attaccanti non autenticati possono accedere ai file di configurazione (/mnt/mtd/Config/Account*) contenenti credenziali admin in chiaro tramite directory traversal nel server HTTP.
panel/ ├── server.py # Flask + SocketIO C2 web panel (~1200 lines, 50+ API routes) ├── database.py # SQLite ORM — 11 tables (cameras, vulns, creds, shells, DNS, ASN, etc.) ├── scanner.py # Multi-threaded TCP/HTTP vulnerability scanner ├── exploit.py # CVE-2020-25078 exploit — 37 vulnerable paths, 14 credential parsers ├── telnet_client.py # Raw telnet command execution against owned devices ├── brute.py # Multi-threaded brute force engine ├── web_exploit.py # Full website vulnerability scanner (CMS detection, exposed files, SQLi) ├── web_cves.py # CVE scanner — Log4Shell, Spring4Shell, Confluence, Ghostcat, etc. ├── web_bugs.py # Bug class scanner — SQLi, LFI, SSRF, XXE, CmdI, JWT, etc. ├── web_brute.py # Web brute force — forms, WordPress xmlrpc, Basic Auth, cred stuffing ├── network_exploit.py # Network service exploit scanner — SMB, RDP, VNC, databases, etc. ├── cred_spray.py # Multi-service credential spraying ├── recon_asn.py # ASN import, organization search, IP-to-ASN lookup ├── recon_dns.py # DNS recon — all record types, subdomain brute, zone transfer ├── recon_jarm.py # JARM TLS server fingerprinting ├── recon_waf.py # WAF detection and identification ├── recon_geoip.py # GeoIP lookup and bulk IP geolocation ├── portscan.py # TCP port scanner with banner grabbing, SYN option, multiple presets ├── persistence.py # SSH key injection, cron backdoors, full deployment ├── reverse_shell.py # Payload generator + multi-session listener ├── pivot_chain.py # Multi-hop command execution and TCP relay ├── socks_pivot.py # SOCKS5 proxy through compromised hosts ├── botnet.py # Bot grouping, fan-out commands, health checks, payload deployment ├── intel.py # Telegram/Discord webhooks, AbuseIPDB, screenshot capture ├── scheduler.py # APScheduler-based job scheduling ├── proxy_rotation.py # Proxy list rotation for stealth ├── stealth.py # Traffic obfuscation utilities ├── inject_key.py # SSH key injection variants ├── inject_ssh.py # SSH-based injection ├── launch.py # Simple launcher wrapper ├── auto_exploit.py # Automated exploitation routines ├── templates/ │ └── index.html # Dark-themed SPA — 8 tabs, real-time updates, terminal └── requirements.txt # Python dependencies
### Schema del Database
Il database SQLite (`cameras.db`, creato automaticamente al primo avvio) contiene 11 tabelle: