ABYSS C2 — HiSilicon DVR Exploit Framework (CVE-2020-25078). Educational IoT security research platform.
⚠️ 교육 및 데모 목적으로만 사용
이 소프트웨어는 교육 및 승인된 보안 연구 목적으로만 제공됩니다. 통제되고 승인된 환경에서 일반적인 IoT 취약점 및 사후 익스플로잇 기술을 시연하도록 설계되었습니다.
다음에는 이 소프트웨어를 사용해서는 안 됩니다:
- 소유하지 않은 시스템이나 장치
- 테스트할 명시적인 서면 승인이 없는 시스템이나 장치
- 사전 승인 없이 프로덕션 인프라
제작자는 이 소프트웨어로 인한 오용, 손해 또는 불법 활동에 대해 어떠한 책임도 지지 않습니다. 이 소프트웨어를 사용함으로써 귀하는 해당 관할권의 모든 관련 법률 및 규정을 준수할 책임이 전적으로 귀하에게 있음을 인정합니다. 컴퓨터 시스템에 대한 무단 액세스는 미국 컴퓨터 사기 및 남용 방지법(CFAA) 및 전 세계의 유사 법률에 따라 불법입니다.
이 프로젝트는 다음을 시연하기 위해 존재합니다:
- CVE-2020-25078(HiSilicon DVR 정보 공개)이 작동하는 방식
- IoT 장치 보안 취약점과 펌웨어 업데이트가 중요한 이유
- 방어자가 공격자의 TTP(전술, 기술, 절차)를 이해할 수 있도록 사후 익스플로잇 기술
- 네트워크 분할 및 자격 증명 관리의 중요성
소유하지 않았다면 건드리지 마십시오.
ABYSS C2는 Python/Flask로 구축된 풀스택 명령 및 제어(C2) 프레임워크로, 실시간 다크 테마 웹 패널을 갖추고 있습니다. IoT 장치(특히 CVE-2020-25078의 영향을 받는 HiSilicon 기반 DVR 및 IP 카메라)에 대한 전체 공격 체인을 시연합니다. — 정찰 및 대상 수집부터 익스플로잇, 사후 익스플로잇, 지속성, 측면 이동, 데이터 유출까지.
CVE-2020-25078은 HiSilicon Hi3516/Hi3518/Hi3519 기반 DVR/NVR 장치의 경로 탐색/정보 공개 취약점입니다. 인증되지 않은 공격자는 HTTP 서버의 디렉터리 탐색을 통해 일반 텍스트 관리자 자격 증명이 포함된 구성 파일(/mnt/mtd/Config/Account*)에 액세스할 수 있습니다.
panel/ ├── server.py # Flask + SocketIO C2 web panel (~1200 lines, 50+ API routes) ├── database.py # SQLite ORM — 11 tables (cameras, vulns, creds, shells, DNS, ASN, etc.) ├── scanner.py # Multi-threaded TCP/HTTP vulnerability scanner ├── exploit.py # CVE-2020-25078 exploit — 37 vulnerable paths, 14 credential parsers ├── telnet_client.py # Raw telnet command execution against owned devices ├── brute.py # Multi-threaded brute force engine ├── web_exploit.py # Full website vulnerability scanner (CMS detection, exposed files, SQLi) ├── web_cves.py # CVE scanner — Log4Shell, Spring4Shell, Confluence, Ghostcat, etc. ├── web_bugs.py # Bug class scanner — SQLi, LFI, SSRF, XXE, CmdI, JWT, etc. ├── web_brute.py # Web brute force — forms, WordPress xmlrpc, Basic Auth, cred stuffing ├── network_exploit.py # Network service exploit scanner — SMB, RDP, VNC, databases, etc. ├── cred_spray.py # Multi-service credential spraying ├── recon_asn.py # ASN import, organization search, IP-to-ASN lookup ├── recon_dns.py # DNS recon — all record types, subdomain brute, zone transfer ├── recon_jarm.py # JARM TLS server fingerprinting ├── recon_waf.py # WAF detection and identification ├── recon_geoip.py # GeoIP lookup and bulk IP geolocation ├── portscan.py # TCP port scanner with banner grabbing, SYN option, multiple presets ├── persistence.py # SSH key injection, cron backdoors, full deployment ├── reverse_shell.py # Payload generator + multi-session listener ├── pivot_chain.py # Multi-hop command execution and TCP relay ├── socks_pivot.py # SOCKS5 proxy through compromised hosts ├── botnet.py # Bot grouping, fan-out commands, health checks, payload deployment ├── intel.py # Telegram/Discord webhooks, AbuseIPDB, screenshot capture ├── scheduler.py # APScheduler-based job scheduling ├── proxy_rotation.py # Proxy list rotation for stealth ├── stealth.py # Traffic obfuscation utilities ├── inject_key.py # SSH key injection variants ├── inject_ssh.py # SSH-based injection ├── launch.py # Simple launcher wrapper ├── auto_exploit.py # Automated exploitation routines ├── templates/ │ └── index.html # Dark-themed SPA — 8 tabs, real-time updates, terminal └── requirements.txt # Python dependencies
### 데이터베이스 스키마
SQLite 데이터베이스(`cameras.db`, 최초 실행 시 자동 생성)는 11개의 테이블을 포함합니다:
| 테이블 | 목적 |
|-------|---------|
| `cameras` | 손상된 장치 — IP, 자격 증명, 모델, 펌웨어, 시리얼, 상태 |
| `command_log` | 실행된 모든 명령과 출력에 대한 전체 감사 추적 |
| `scan_results` | 스캔 기록 — 스캔된 IP와 취약 여부 |
| `web_vulns` | 발견된 웹 취약점 (CVE, 심각도, 증거) |
| `network_vulns` | 발견된 네트워크 서비스 취약점 |
| `shells` | 활성 리버스 셸 세션 |
| `dns_records` | DNS 정찰 결과 |
| `cred_vault` | 서비스별로 정리된 수집된 자격 증명 |
| `asn_targets` | ASN 접두사 및 가져온 IP 범위 |
| `web_targets` | 메타데이터가 포함된 웹 대상 (상태, 서버, CMS, JARM, WAF) |
| `scan_jobs` | 작업 추적 — 스캔 유형, 대상, 기간, 결과 수 |
| `scan_log` | 감사를 위한 모듈 수준 활동 로그 |
---
## 설치
### 사전 요구 사항
- Python 3.10 이상
- pip
- Git (선택 사항)
### 1단계 — 복제 또는 다운로드```bash
git clone https://github.com/YOUR_USERNAME/abyss-c2.git
cd abyss-c2
python -m venv venv
venv\Scripts\activate
source venv/bin/activate
### 3단계 — 의존성 설치```bash
pip install -r requirements.txt
무차별 대입 모듈은 프로젝트 루트에 rockyou.txt 워드리스트가 있어야 합니다. GitHub 파일 크기 제한(100MB)으로 인해 이 저장소에 포함되어 있지 않습니다.```bash
cp /usr/share/wordlists/rockyou.txt.gz . gunzip rockyou.txt.gz
무차별 대입이 필요하지 않다면, 다른 모듈들은 워드리스트 없이도 작동합니다.
### 5단계 — 실행```bash
python server.py
Open **http://localhost:5000**를 브라우저에서 여십시오.
데이터베이스는 최초 실행 시 자동으로 생성되며 별도의 설정이 필요하지 않습니다.
패널을 처음 열면 다음 항목이 표시됩니다:
여기가 명령 센터입니다. 다음을 수행할 수 있습니다:
검색 엔진에서 대상 가져오기:
수동 스캔:
192.168.1.0/24)장치가 손상되면 (테이블에 나타남):
대량 작업:
웹 스캔 모드 (WEB 버튼으로 전환):
여섯 가지 정찰 모듈:
CVE 스캐너 — 20개 이상의 알려진 CVE 확인: Log4Shell (CVE-2021-44228), Spring4Shell (CVE-2022-22965), Confluence (CVE-2022-26134), Ghostcat (CVE-2020-1938), Struts2 (CVE-2017-5638), Jenkins (CVE-2018-1000861), GitLab (CVE-2021-22205), Exchange ProxyShell/ProxyLogon, F5 BIG-IP (CVE-2022-1388), Citrix (CVE-2019-19781), MOVEit (CVE-2023-34362), Ivanti (CVE-2024-21887), vCenter (CVE-2021-21972), PHPUnit (CVE-2017-9841), GeoServer (CVE-2024-36401), Apache Solr (CVE-2019-17558), 그리고 WordPress 플러그인 취약점.
버그 클래스 스캐너 — 다음 항목 테스트: 블라인드 SQL 인젝션, 명령 인젝션, 로컬 파일 포함, 서버 측 요청 위조, XML 외부 엔티티, JWT 공격, 서브도메인 탈취, HTTP 요청 스머글링, GraphQL introspection, CORS 설정 오류.
웹 무차별 대입 — 네 가지 모드:
결과는 아래 발견된 취약점 테이블에 나타납니다.
네트워크 익스플로잇 스캐너 — 일반적인 네트워크 서비스의 알려진 취약점 확인: SMB (EternalBlue, SMBGhost), RDP (BlueKeep), VNC (인증 우회), FTP (익명 접근), SNMP (기본 커뮤니티), Redis (인증 없음), MongoDB (인증 없음), Elasticsearch (인증 없음), CouchDB (인증 없음), MySQL/MSSQL/PostgreSQL (기본 자격 증명), Memcached (인증 없음), IPMI (인증 우회), Mirai-IoT 기본값.
자격 증명 스프레이 — 수집되었거나 사용자 지정 자격 증명을 여러 서비스에 스프레이: Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC 또는 한 번에 모두.
결과는 네트워크 취약점 테이블과 자격 증명 보관소에 채워집니다.
손상된 호스트에 대한 세 가지 배포 작업:
/root/.ssh/authorized_keys (또는 여러 경로)에 추가피벗 체인 — 여러 중간 호스트를 통해 명령 실행:``` hop1 → hop2 → hop3 → command
**SOCKS Pivot** — 손상된 장치를 통해 트래픽을 라우팅하는 로컬 SOCKS5 프록시를 시작하여 proxychains 또는 SOCKS 호환 도구를 사용해 내부 네트워크에 접근할 수 있습니다.
### 탭 6 — 리버스 셸
- **Payload Generator** — 셸 유형(bash, python, perl, php, nc, ruby, node, lua 등) 선택, LHOST/LPORT 설정, GENERATE 클릭 — 페이로드 생성, 클릭하여 복사
- **Listener** — 모든 포트에서 리스너 시작, 여러 동시 연결을 자동 관리
- **Active Sessions** — 세션을 클릭하여 상호작용, 명령어 입력 후 SEND 클릭
- **All Shells** 테이블은 수신된 모든 리버스 셸 콜백을 상태와 함께 표시
### 탭 7 — 봇넷
대규모 손상 장치 그룹 관리용:
- **Fan-Out Command** — 모든 봇에 명령 실행 (선택적으로 태그로 필터링)
- **Health Check** — 모든 봇 핑 및 온라인/오프라인 상태 보고
- **Tag Bot** — 봇에 태그 할당하여 그룹화 (예: `eu`, `cameras`, `high-value`)
- **Deploy Payload** — 태그 그룹의 모든 봇에 페이로드 배포
- **Bot Summary** — 총 개수, 온라인 개수 및 태그별 분류 표시
### 탭 8 — 설정
- **Telegram/Discord** — 이벤트에 대한 웹훅 알림 구성 (새로운 침해, 스캔 완료 등)
- **AbuseIPDB** — IP 평판 확인
- **Screenshot** — 카메라 웹 인터페이스에서 HTTP 스크린샷 캡처
- **Scheduler** — 반복 작업 설정 (예: 3600초마다 상태 확인)
- **Scan Log** — 모든 모듈 작업의 전체 감사 추적, 모듈 유형별 필터 가능
---
## API 참조
전체 REST API는 `http://localhost:5000/api/`에서 사용할 수 있습니다. 주요 엔드포인트:
| 엔드포인트 | 메서드 | 설명 |
|----------|--------|-------------|
| `/api/cameras` | GET | 모든 손상 장치 목록 |
| `/api/cameras/<ip>` | GET | 장치 세부 정보 가져오기 |
| `/api/stats` | GET | 대시보드 통계 |
| `/api/scan/start` | POST | 스캐너 시작 (CIDR, 대상, 스레드) |
| `/api/scan/stop` | POST | 스캐너 중지 |
| `/api/scan/status` | GET | 스캐너 실행 상태 + 통계 |
| `/api/exploit/check` | POST | 단일 IP에서 CVE-2020-25078 확인 |
| `/api/fetch_targets` | POST | Shodan/FOFA/ZoomEye/Free에서 가져오기 |
| `/api/web_scan` | POST | 전체 웹사이트 취약점 스캔 |
| `/api/web_cves/scan` | POST | 대상에 대한 CVE 스캔 |
| `/api/web_bugs/scan` | POST | 대상에 대한 버그 클래스 스캔 |
| `/api/web_brute` | POST | 웹 무차별 대입 |
| `/api/network/scan` | POST | 네트워크 익스플로잇 스캔 |
| `/api/cred_spray` | POST | 자격 증명 스프레이 |
| `/api/portscan` | POST | TCP 포트 스캔 |
| `/api/recon/asn` | POST | ASN 가져오기/조회/검색 |
| `/api/recon/dns` | POST | DNS 정찰 |
| `/api/recon/jarm` | POST | JARM 지문 |
| `/api/recon/waf` | POST | WAF 탐지 |
| `/api/recon/geoip` | POST | GeoIP 조회 |
| `/api/persistence/deploy` | POST | 지속성 배포 (ssh_key/cron/full) |
| `/api/revshell/generate` | POST | 리버스 셸 페이로드 생성 |
| `/api/revshell/listen` | POST | 리버스 셸 리스너 시작 |
| `/api/revshell/stop` | POST | 리스너 중지 |
| `/api/botnet/bots` | GET | 봇 목록 + 그룹 요약 |
| `/api/botnet/fanout` | POST | 모든 봇에 명령 실행 |
| `/api/botnet/health` | POST | 봇 상태 확인 |
| `/api/botnet/deploy` | POST | 봇에 페이로드 배포 |
| `/api/socks/start` | POST | SOCKS5 프록시 시작 |
| `/api/socks/stop` | POST | SOCKS5 프록시 중지 |
| `/api/intel/config` | GET/POST | 알림 구성 가져오기/설정 |
| `/api/intel/screenshot` | POST | 카메라 스크린샷 캡처 |
| `/api/intel/notify` | POST | 테스트 알림 전송 |
| `/api/scheduler/jobs` | GET | 예약된 작업 목록 |
| `/api/scheduler/add` | POST | 예약된 작업 추가 |
| `/api/scheduler/remove` | POST | 예약된 작업 제거 |
| `/api/credentials` | GET | 자격 증명 저장소 |
| `/api/web_vulns` | GET | 웹 취약점 목록 |
| `/api/network_vulns` | GET | 네트워크 취약점 목록 |
| `/api/shells` | GET | 모든 리버스 셸 세션 |
| `/api/scan_log` | GET | 모듈/대상 필터가 있는 감사 로그 |
| `/api/scan_jobs` | GET | 스캔 작업 기록 |
WebSocket 이벤트 (SocketIO):
- `scanner_event` — 실시간 스캔 진행 상황 (활성, 취약, 소유, 상태)
- `stats_update` — 대시보드 통계 변경
- `cameras_list` — 카메라 테이블 새로고침
- `new_camera` — 새로운 장치 침해
- `command_result` — 텔넷 명령 출력
- `mass_result` / `mass_result_item` — 대량 명령 결과
- `brute_event` — 무차별 대입 진행 상황
- `web_cve_event` / `web_cves_done` — CVE 스캔 진행 상황
- `web_bug_event` / `web_bugs_done` — 버그 스캔 진행 상황
- `network_event` / `network_done` — 네트워크 스캔 진행 상황
- `spray_event` / `spray_done` — 자격 증명 스프레이 진행 상황
- `portscan_event` / `portscan_done` — 포트 스캔 진행 상황
- `persistence_result` — 지속성 배포 결과
- `revshell_event` — 리버스 셸 데이터/연결
- `botnet_event` / `botnet_fanout_done` — 봇넷 작업
---
## 기술 세부 사항
### CVE-2020-25078 익스플로잇 체인
1. **활성 확인** — 80번 포트에 TCP 연결
2. **HTTP 지문** — 15가지 알려진 DVR 서명 확인 (`AppName="Hipcam"`, `hi3516`, `WEB SERVICE` 등)
3. **경로 탐색** — 37가지 알려진 취약 경로 시도 (`/../../../../../../../../../mnt/mtd/Config/Account1` 등)
4. **자격 증명 추출** — INI, XML, JSON, URL 인코딩, 바이너리, base64, 콜론 구분, DVR 특정 형식을 포함한 14개의 정규식 패턴으로 응답 파싱
5. **가비지 필터링** — 적극적인 오탐 제거 (HTML 태그, HTTP 헤더, 일반 단어)
6. **기본 대체** — 장치가 취약하지만 자격 증명이 추출되지 않은 경우, 22개의 알려진 기본 자격 증명 쌍 시도
### 스캐너 아키텍처
- 구성 가능한 작업자 수(기본 50개)의 스레드 풀
- 큐 기반 대상 분배
- 실시간 SocketIO 이벤트를 UI로 전송
- 뮤텍스 잠금을 사용한 스레드 안전 통계
- 네트워크/브로드캐스트 제외 CIDR 범위 확장
- 다중 포트 스캔 (80, 8080, 443, 8443, 554, 8000, 81, 88, 8888, 37777)
---
## 면책 조항
**이 소프트웨어는 오직 교육 및 시연 목적으로 제공됩니다.**
이 프로젝트는 승인된 보안 테스트 작업, 교육 환경 또는 사용자가 소유한 시스템에서만 사용하도록 설계되었습니다. 여기서 시연된 기술은 사이버 보안 업계에서 잘 알려져 있으며, 방어자가 공격 방법론을 이해하는 데 도움을 주기 위해 문서화되었습니다.
**이 소프트웨어를 사용함으로써 다음에 동의합니다:**
1. 귀하는 자신이 소유하거나 명시적인 서면 승인을 받은 시스템에서만 사용합니다.
2. 귀하는 모든 관련 지역, 주, 국가 및 국제 법률을 준수할 책임이 있습니다.
3. 이 프로젝트의 작성자 및 기여자는 다음에 대해 **전혀 책임을 지지 않습니다**:
- 이 소프트웨어의 무단 또는 불법 사용
- 이 소프트웨어의 사용 또는 오용으로 인한 손해
- 이 소프트웨어 사용으로 인한 법적 결과
4. 이 소프트웨어는 명시적이든 묵시적이든 어떠한 종류의 보증도 제공하지 않습니다.
**사용 사례가 합법적인지 또는 승인되었는지 확실하지 않은 경우 이 소프트웨어를 사용하지 마십시오.**
이 프로젝트의 존재는 불법 활동을 장려하는 것이 아닙니다. 효과적인 방어를 구축하기 위해 공격 기술을 이해하는 것이 필수적이기 때문에 존재합니다.
---
## 라이선스
이 프로젝트는 교육 목적으로 있는 그대로 제공됩니다. 보증 없음. 책임 없음. 사용에 따른 위험은 사용자에게 있습니다.
---
*기억하세요: 보안 연구는 시스템을 안전하게 만들기 위해 존재하며, 파괴하기 위한 것이 아닙니다. 이 지식을 공격이 아닌 방어에 사용하십시오.*
| 모듈 | 기능 |
|---|
| ASN 조회 | ASN에서 모든 프리픽스 가져오기, 조직 검색, IP가 속한 ASN 조회 |
| DNS 정찰 | 전체 DNS 열거 — A, AAAA, MX, NS, TXT, SOA, CNAME 레코드 + 서브도메인 무차별 대입 + AXFR 영역 전송 시도 |
| JARM 지문 | TLS 서버 지문 — 로드 밸런서 뒤에 있더라도 TLS 구현 식별 |
| WAF 탐지 | 대상 앞에 있는 WAF (Cloudflare, CloudFront, Imperva, Akamai 등) 식별 |
| GeoIP | 모든 IP에 대한 지리적 위치 및 ISP 조회 |
| 포트 스캔 | 6개의 프리셋(웹, 상위 100, 상위 1000, 전체, IoT, 데이터베이스)을 사용한 TCP 포트 스캔, 배너 그래빙 포함 |