`moonwalk`

Linux Exploitation / Penetration Testing において、システムログやファイルシステムのタイムスタンプに一切の痕跡を残さず行動を隠蔽します。

📖 目次

はじめに
機能
インストール
使い方
貢献
ライセンス

ℹ️ はじめに

moonwalk は400KBのシングルバイナリ実行ファイルで、Unixマシンのペネトレーションテスト中に痕跡を消去できます。攻撃前のシステムログの状態を保存し、攻撃後にファイルシステムのタイムスタンプを含むその状態を元に戻すことで、_ゴーストインザシェル_のように一切の痕跡を残しません。

⚠️ 注意: このツールは Red Team 活動のみを支援するためにオープンソース化されており、作者はこのツールの不正使用によって生じたいかなる結果についても責任を負いません。許可を得たマシンでのみ使用してください。

機能

小さな実行ファイル: curl でターゲットマシンにフェッチしてすぐに使用開始できます。
高速: ロギング、痕跡消去、ファイルシステム操作を含むすべてのセッションコマンドを5ミリ秒未満で実行します。
偵察: システムログの状態を保存するため、moonwalk は誰でも書き込み可能なパスを見つけ、セッションをドットディレクトリに保存します。このディレクトリはセッション終了時に削除されます。
シェル履歴: 履歴ファイル全体をクリアする代わりに、moonwalk は moonwalk の呼び出しを含めて元の状態に戻します。
ファイルシステムタイムスタンプ: GET コマンドを使用してファイルのアクセス/修正タイムスタンプを元の状態に戻すことで、ブルーチームから隠れます。

インストール

$ curl -L https://github.com/mufeedvh/moonwalk/releases/download/v1.0.0/moonwalk_linux -o moonwalk

(AMD x86-64)

または

実行ファイルを Releases からダウンロードするか、cargo でインストール:

$ cargo install --git https://github.com/mufeedvh/moonwalk.git

Rust/Cargo をインストール

ソースからビルド

前提条件:

Git
Rust
Cargo（Rustインストール時に自動でインストール）
Cリンカ（Linuxのみ、通常プリインストールされています）

$ git clone https://github.com/mufeedvh/moonwalk.git
$ cd moonwalk/
$ cargo build --release

最初のコマンドでこのリポジトリをローカルマシンにクローンし、最後の2つのコマンドでディレクトリに移動してリリースモードでソースをビルドします。

使い方

ターゲットのUnixマシンにシェルを取得したら、次のコマンドで moonwalk セッションを開始します:

$ moonwalk start

偵察/エクスプロイト中にファイルを操作する場合、事前にファイルの touch タイムスタンプコマンドを取得しておき、アクセス/変更後に元に戻せるようにします:

$ moonwalk get ~/.bash_history

エクスプロイト後、次のコマンドで痕跡を消去しセッションを終了します:

$ moonwalk finish

以上です！

貢献

貢献方法:

機能の提案
バグの報告
修正してプルリクエストを送る
コードのドキュメント化を手伝う
広める
私が見逃した痕跡を発見する！

ライセンス

MITライセンスのもとでライセンスされています。詳細は LICENSE を参照してください。

moonwalk

人気