WebDAVC2

최신/현재 버전: 0.3

저자: Arno0x0x - @Arno0x0x

WebDavC2는 WebDAV 프로토콜을 PROPFIND 전용 요청만 사용하여, 대상 시스템에서 실행되는 에이전트와 실제 C2 서버 역할을 하는 컨트롤러 간의 C2 통신 채널로 활용하는 PoC(개념 증명)입니다.

이 도구는 GPLv3 라이선스 조건에 따라 배포됩니다.

배경 정보

WebDAV PROPFIND 전용 요청을 C2 채널로 사용하는 방법과 그 이유에 대한 블로그 게시물을 확인하세요:

Wordpress: 은닉 채널로서 WebDAV 기능 사용하기

아키텍처

WebDavC2는 다음으로 구성됩니다:

• Python으로 작성된 컨트롤러, C2 서버 역할
• C#/.Net으로 작성된 에이전트, 대상 시스템에서 실행되며 다양한 초기 스테이저를 통해 전달됨
• 다양한 형태의 초기 스테이저(컨트롤러가 시작될 때 즉석에서 생성됨), 대상 시스템의 초기 침투에 사용됨

기능

WebDavC2 주요 기능:

• 다양한 스테이저(파워쉘 원라인, 배치 파일, 다양한 유형의 MS-Office 매크로, JScript 파일) — 이에 국한되지 않으며, 템플릿 폴더를 확인하여 자신만의 스테이저를 쉽게 만들 수 있음
• 의사 대화형 셸(환경 지속성 지원)
• 권한이 없는 사용자도 'pushd' 트릭을 사용하여 WebClient 서비스를 자동 시작 가능

설치 및 구성

설치는 매우 간단합니다:

• Git 클론: git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• WebDavC2 폴더로 이동: cd WebDavC2
• 메인 스크립트에 실행 권한 부여: chmod +x webDavC2.py

컨트롤러를 시작하려면 ./webDavC2.py를 입력하세요.

자체 에이전트 컴파일

제공된 agent.exe를 사용해도 완전히 괜찮지만, 제공된 소스 코드에서 자신만의 에이전트 실행 파일을 아주 쉽게 컴파일할 수 있습니다. Visual Studio가 필요하지 않습니다.

• agent/agent.cs 파일을 .Net 프레임워크가 설치된 Windows 머신에 복사
• 소스 디렉토리로 이동
• .Net 명령줄 C# 컴파일러 사용:
  • 표준 에이전트 실행 파일: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • 디버그 버전: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

면책 조항

이 도구는 법적이고 합법적인 용도로만 사용해야 합니다:

• 학습 목적, 무엇을 어떻게 할 수 있는지 시연하거나 방어 및 탐지 메커니즘을 테스트하기 위해 자신의 시스템에서 사용
• 공식적이고 합법적으로 보안 평가(침투 테스트, 보안 감사)를 수행할 권한이 부여된 시스템에서 사용

Empire 제작자의 말을 인용하자면: 합법적인 정보 보안 산업에 유용한 공격 도구를 만들면서 동시에 악의적인 행위자가 이를 악용하는 것을 방지할 방법은 없습니다.

TODO

이 도구는 단순한 PoC이므로 프로덕션 품질을 기대하지 마십시오. 또한 에이전트에서 컨트롤러로 전송할 수 있는 데이터 양에 임의적인 제한이 있습니다.

추가 예정:

• 더 많은 스테이저?

수정 예정:

• 컨트롤러로 반환될 수 있는 명령 출력의 (임의적인) 크기 제한 증가
• 피드백을 기다리는 중 :)