#IRONSQUIRREL

このプロジェクトは、ブラウザエクスプロイトを暗号化された形で被害者ブラウザに配信することを目的としています。鍵共有には楕円曲線ディフィー・ヘルマン（secp256k1）を使用し、暗号化にはAESを使用しています。

エクスプロイトコード（およびシェルコード）を暗号化して被害者に配信することで、攻撃を再生不可能にします。さらにHTML/JSソースが暗号化されるため、エクスプロイトのリバースエンジニアリングが大幅に困難になります。

何を言っているのかわからない場合は、「How to hide your browser 0-days」でGoogle検索し、私のプレゼンテーションをご覧ください。またはYouTubeでチェック：https://www.youtube.com/watch?v=eyMDd98uljI スライドはSlideShare：https://www.slideshare.net/bz98/how-to-hide-your-browser-0days

暗号化されたエクスプロイト配信のアイデアは、2015年6月2日に私が初めて公開しました： https://twitter.com/zh4ck/status/605754804472823808 https://www.mrg-effitas.com/research/generic-bypass-of-next-gen-intrusion-threat-breach-detection-systems/

Anglerエクスプロイトキットの連中は、私のアイデアを盗んだだけです。しかも実装がひどい。

はじめに

この説明に従って、開発およびテスト目的でローカルマシンにプロジェクトのコピーをセットアップできます。

前提条件

必須の依存関係 - IRONSQUIRRELプロジェクトをクローンし、プロジェクトディレクトリにcdして、以下のコマンドを実行します：

sudo apt-get install ruby-dev
bundle install

実際には、nokogiriとgibberishのgemがインストールされます。

オプションの依存関係（Powershellベースの環境認識型暗号化ペイロード配信用）：Ebowla https://github.com/Genetic-Malware/Ebowla

インストール

IRONSQUIRRELプロジェクトをクローンする
前提条件をインストールする
（オプション）IRONSQUIRREL.rbを編集する
1. リッスンポートを変更する
2. Ebowlaを使用する場合、パスを設定する
（オプション）Ebowlaを使用する場合、Ebowlaインストールディレクトリ内のgenetic.config.ecdhを設定する
IRONSQUIRREL.rbを実行する

ruby IRONSQUIRREL.rb --exploit full_path_to_exploit

例

ruby IRONSQUIRREL.rb --exploit /home/myawesomeusername/IRONSQUIRREL/exploits/alert.html

その後、ブラウザからWebサーバーにアクセスします。出力例：

Listening on 2345
GET / HTTP/1.1
GET /sjcl.js HTTP/1.1
GET /dh.js HTTP/1.1
GET /client_pub.html?cl=SOifQJetphU2CvFzZl239nKPYWRGEH23ermGMszo9oqOgqIsH5XxXi1vw4P4YFWDqK6v4o4jIpAVSNZD1x5NTw%3D%3D HTTP/1.1
GET /final.html HTTP/1.1
GET /sjcl.js HTTP/1.1
The end

本番環境向けデプロイ手順

これを実際に使用する場合は、私に知らせてください
何が問題になるかを把握するために、少なくとも2週間かけてください

貢献

バグ修正、機能リクエスト、コメントなどは自由に提出してください。

著者

Zoltan Balazs (@zh4ck) - 初期の作業

ライセンス

このプロジェクトはGPL3ライセンスの下でライセンスされています - 詳細はLICENSE.mdファイルを参照してください

謝辞

@CrySySLab
@SpamAndHex
@molnar_g
@midnite_runr
@buherator
@sghctoma
@zmadarassy
@xoreipeip
@DavidSzili
@theevilbit
Szimeus

logo

Ironsquirrel

人気