ABYSS C2 — HiSilicon DVR 익스플로잇 프레임워크

⚠️ 교육 및 데모 목적으로만 사용

이 소프트웨어는 교육 및 승인된 보안 연구 목적으로만 제공됩니다. 통제되고 승인된 환경에서 일반적인 IoT 취약점 및 사후 익스플로잇 기술을 시연하도록 설계되었습니다.

다음에는 이 소프트웨어를 사용해서는 안 됩니다:

• 소유하지 않은 시스템이나 장치
• 테스트할 명시적인 서면 승인이 없는 시스템이나 장치
• 사전 승인 없이 프로덕션 인프라

제작자는 이 소프트웨어로 인한 오용, 손해 또는 불법 활동에 대해 어떠한 책임도 지지 않습니다. 이 소프트웨어를 사용함으로써 귀하는 해당 관할권의 모든 관련 법률 및 규정을 준수할 책임이 전적으로 귀하에게 있음을 인정합니다. 컴퓨터 시스템에 대한 무단 액세스는 미국 컴퓨터 사기 및 남용 방지법(CFAA) 및 전 세계의 유사 법률에 따라 불법입니다.

이 프로젝트는 다음을 시연하기 위해 존재합니다:

• CVE-2020-25078(HiSilicon DVR 정보 공개)이 작동하는 방식
• IoT 장치 보안 취약점과 펌웨어 업데이트가 중요한 이유
• 방어자가 공격자의 TTP(전술, 기술, 절차)를 이해할 수 있도록 사후 익스플로잇 기술
• 네트워크 분할 및 자격 증명 관리의 중요성

소유하지 않았다면 건드리지 마십시오.

---

개요

ABYSS C2는 Python/Flask로 구축된 풀스택 명령 및 제어(C2) 프레임워크로, 실시간 다크 테마 웹 패널을 갖추고 있습니다. IoT 장치(특히 CVE-2020-25078의 영향을 받는 HiSilicon 기반 DVR 및 IP 카메라)에 대한 전체 공격 체인을 시연합니다. — 정찰 및 대상 수집부터 익스플로잇, 사후 익스플로잇, 지속성, 측면 이동, 데이터 유출까지.

CVE-2020-25078은 HiSilicon Hi3516/Hi3518/Hi3519 기반 DVR/NVR 장치의 경로 탐색/정보 공개 취약점입니다. 인증되지 않은 공격자는 HTTP 서버의 디렉터리 탐색을 통해 일반 텍스트 관리자 자격 증명이 포함된 구성 파일(/mnt/mtd/Config/Account*)에 액세스할 수 있습니다.

기능

• 실시간 웹 대시보드 — WebSocket 라이브 업데이트, 8개의 운영 탭, 내장 터미널이 있는 다크 테마 단일 페이지 UI
• 대상 수집 — Shodan, FOFA, ZoomEye API를 통해 취약한 장치를 가져오고, 무료 스크래핑(Censys, Onyphe, Shodan free facet, InternetDB)을 추가로 지원
• 취약점 스캐너 — CIDR 지원, DVR 지문 인식, 자격 증명 추출이 가능한 멀티스레드 TCP/HTTP 스캐너
• 사후 익스플로잇 — 대화형 텔넷 셸, 소유한 모든 장치에 대한 대량 명령 실행, 파일 업로드
• 웹 취약점 스캐닝 — CVE 탐지(Log4Shell, Spring4Shell, Confluence, Ghostcat, Struts2, Jenkins, GitLab, Exchange, F5 BIG-IP, Citrix, MOVEit, Ivanti, vCenter, PHPUnit, GeoServer, Solr, WordPress) 및 버그 클래스 테스트(SQLi, LFI, SSRF, XXE, Command Injection, JWT attacks, Subdomain Takeover, HTTP Smuggling, GraphQL, CORS)
• 네트워크 익스플로잇 — SMB/EternalBlue, RDP/BlueKeep, VNC, FTP, SNMP, Redis, MongoDB, Elasticsearch, CouchDB, MySQL/MSSQL/PostgreSQL, Memcached, IPMI, Mirai-IoT
• 자격 증명 공격 — 다중 프로토콜 무차별 대입(Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC), 자격 증명 스프레이, 자격 증명 보관소
• 정찰 — ASN 조회/가져오기, 전체 DNS 정찰(A/AAAA/MX/NS/TXT/SOA + 서브도메인 브루트 + AXFR), JARM TLS 지문 인식, WAF 탐지, GeoIP 조회, 멀티 프리셋 포트 스캐닝
• 지속성 — SSH 공개 키 주입, cron 백도어, init.d/systemd 지속성, 완전 자동 배포
• 리버스 셸 — 페이로드 생성기(bash, python, perl, php, nc, ruby, node, lua 등), 대화형 다중 세션 리스너
• 피벗팅 — 멀티홉 체인 실행, TCP 릴레이, 손상된 호스트를 통한 SOCKS5 프록시, 로컬 네트워크의 자동 피벗 스캔
• 봇넷 오케스트레이션 — 봇 태깅/그룹화, 팬아웃 명령, 상태 확인, 페이로드 배포
• 인텔 및 알림 — Telegram/Discord 웹훅 알림, AbuseIPDB 통합, 카메라 스크린샷 캡처
• 스케줄러 — 자동 반복 작업(스캔, 정찰, 상태 확인)

---

아키텍처```

panel/ ├── server.py # Flask + SocketIO C2 web panel (~1200 lines, 50+ API routes) ├── database.py # SQLite ORM — 11 tables (cameras, vulns, creds, shells, DNS, ASN, etc.) ├── scanner.py # Multi-threaded TCP/HTTP vulnerability scanner ├── exploit.py # CVE-2020-25078 exploit — 37 vulnerable paths, 14 credential parsers ├── telnet_client.py # Raw telnet command execution against owned devices ├── brute.py # Multi-threaded brute force engine ├── web_exploit.py # Full website vulnerability scanner (CMS detection, exposed files, SQLi) ├── web_cves.py # CVE scanner — Log4Shell, Spring4Shell, Confluence, Ghostcat, etc. ├── web_bugs.py # Bug class scanner — SQLi, LFI, SSRF, XXE, CmdI, JWT, etc. ├── web_brute.py # Web brute force — forms, WordPress xmlrpc, Basic Auth, cred stuffing ├── network_exploit.py # Network service exploit scanner — SMB, RDP, VNC, databases, etc. ├── cred_spray.py # Multi-service credential spraying ├── recon_asn.py # ASN import, organization search, IP-to-ASN lookup ├── recon_dns.py # DNS recon — all record types, subdomain brute, zone transfer ├── recon_jarm.py # JARM TLS server fingerprinting ├── recon_waf.py # WAF detection and identification ├── recon_geoip.py # GeoIP lookup and bulk IP geolocation ├── portscan.py # TCP port scanner with banner grabbing, SYN option, multiple presets ├── persistence.py # SSH key injection, cron backdoors, full deployment ├── reverse_shell.py # Payload generator + multi-session listener ├── pivot_chain.py # Multi-hop command execution and TCP relay ├── socks_pivot.py # SOCKS5 proxy through compromised hosts ├── botnet.py # Bot grouping, fan-out commands, health checks, payload deployment ├── intel.py # Telegram/Discord webhooks, AbuseIPDB, screenshot capture ├── scheduler.py # APScheduler-based job scheduling ├── proxy_rotation.py # Proxy list rotation for stealth ├── stealth.py # Traffic obfuscation utilities ├── inject_key.py # SSH key injection variants ├── inject_ssh.py # SSH-based injection ├── launch.py # Simple launcher wrapper ├── auto_exploit.py # Automated exploitation routines ├── templates/ │ └── index.html # Dark-themed SPA — 8 tabs, real-time updates, terminal └── requirements.txt # Python dependencies

### 데이터베이스 스키마

SQLite 데이터베이스(`cameras.db`, 최초 실행 시 자동 생성)는 11개의 테이블을 포함합니다:

| 테이블 | 목적 |
|-------|---------|
| `cameras` | 손상된 장치 — IP, 자격 증명, 모델, 펌웨어, 시리얼, 상태 |
| `command_log` | 실행된 모든 명령과 출력에 대한 전체 감사 추적 |
| `scan_results` | 스캔 기록 — 스캔된 IP와 취약 여부 |
| `web_vulns` | 발견된 웹 취약점 (CVE, 심각도, 증거) |
| `network_vulns` | 발견된 네트워크 서비스 취약점 |
| `shells` | 활성 리버스 셸 세션 |
| `dns_records` | DNS 정찰 결과 |
| `cred_vault` | 서비스별로 정리된 수집된 자격 증명 |
| `asn_targets` | ASN 접두사 및 가져온 IP 범위 |
| `web_targets` | 메타데이터가 포함된 웹 대상 (상태, 서버, CMS, JARM, WAF) |
| `scan_jobs` | 작업 추적 — 스캔 유형, 대상, 기간, 결과 수 |
| `scan_log` | 감사를 위한 모듈 수준 활동 로그 |

---

## 설치

### 사전 요구 사항

- Python 3.10 이상
- pip
- Git (선택 사항)

### 1단계 — 복제 또는 다운로드```bash
git clone https://github.com/YOUR_USERNAME/abyss-c2.git
cd abyss-c2

2단계 — 가상 환경 생성 (권장)```bash

python -m venv venv

Windows

venv\Scripts\activate

Linux / macOS

source venv/bin/activate

### 3단계 — 의존성 설치```bash
pip install -r requirements.txt

4단계 — (선택사항) 워드리스트 다운로드

무차별 대입 모듈은 프로젝트 루트에 rockyou.txt 워드리스트가 있어야 합니다. GitHub 파일 크기 제한(100MB)으로 인해 이 저장소에 포함되어 있지 않습니다.```bash

On Kali Linux, rockyou.txt is typically at:

cp /usr/share/wordlists/rockyou.txt.gz . gunzip rockyou.txt.gz

Or download from SecLists:

https://github.com/danielmiessler/SecLists/blob/master/Passwords/Leaked-Databases/rockyou.txt.tar.gz

무차별 대입이 필요하지 않다면, 다른 모듈들은 워드리스트 없이도 작동합니다.

### 5단계 — 실행```bash
python server.py

Open **http://localhost:5000**를 브라우저에서 여십시오.

데이터베이스는 최초 실행 시 자동으로 생성되며 별도의 설정이 필요하지 않습니다.

---

사용 가이드

대시보드

패널을 처음 열면 다음 항목이 표시됩니다:

• 통계 막대 — 실시간 카운터: 스캔됨, 취약함, 손상됨, 온라인
• 8개 탭 패널 — 장치, 정찰, 웹 CVE, 네트워크, 지속성, 리버스 쉘, 봇넷, 설정
• 내장 터미널 — 선택한 장치에 대한 대화형 셸
• 사이드 패널 — 스캔 제어, 대상 정보, 대량 명령, 피벗/업로드/무차별 도구

탭 1 — 장치 (주요 작업)

여기가 명령 센터입니다. 다음을 수행할 수 있습니다:

검색 엔진에서 대상 가져오기:

• 소스 선택: Shodan, FOFA, ZoomEye 또는 FREE (스크래핑 — API 키 불필요)
• Shodan/FOFA/ZoomEye 사용 시 API 키 입력
• 사용자 지정 쿼리 또는 기본 DVR/카메라 쿼리를 위해 비워 둠
• FETCH & SCAN 클릭 — 대상이 도착하면 자동으로 스캔됩니다

수동 스캔:

• CIDR 범위 입력 (예: 192.168.1.0/24)
• 또는 단일 IP 및 포트 입력
• 스레드 수 설정 (기본값 50)
• SCAN 클릭

장치가 손상되면 (테이블에 나타남):

• 아무 행이나 클릭하여 선택 — 세부 정보가 사이드 패널에 표시됩니다
• 하단 터미널이 해당 장치에 대해 활성화됩니다
• 빠른 명령 버튼 사용 (CPU, UNAME, PS, IFCFG, NETSTAT, CREDS, PASSWD, LS)
• 터미널에 사용자 지정 명령을 입력하고 Enter 키를 누릅니다

대량 작업:

• 대량 명령 — 소유한 모든 장치에서 동일한 명령을 동시에 실행
• 피벗 스캔 — 손상된 장치를 사용하여 로컬 네트워크에서 추가 대상을 스캔
• 파일 업로드 — base64 인코딩을 통해 원격 장치에 파일 업로드
• 무차별 대입 — 선택한 장치에서 텔넷 자격 증명 무차별 대입

웹 스캔 모드 (WEB 버튼으로 전환):

• URL 또는 IP 입력하여 전체 웹 취약점 스캔
• CMS 탐지, 노출된 구성 파일, SQL 인젝션 매개변수
• FETCH & SCAN은 Shodan 프리에서 웹 대상을 가져와 스캔합니다

탭 2 — 정찰

여섯 가지 정찰 모듈: