abyss-c2

Framework C2 full-stack para exploração de IoT (CVE-2020-25078) com painel web em tempo real, aquisição de alvos de múltiplas fontes, varredura de vulnerabilidades, pós-exploração, persistência, movimentação lateral e orquestração de botnet.

CVE-2020-25078 é uma vulnerabilidade de travessia de caminho / divulgação de informações em dispositivos DVR/NVR baseados em HiSilicon Hi3516/Hi3518/Hi3519. Atacantes não autenticados podem acessar arquivos de configuração (/mnt/mtd/Config/Account*) contendo credenciais de administrador em texto simples por meio de travessia de diretório no servidor HTTP.

Recursos

• Painel Web em Tempo Real — UI de página única com tema escuro, atualizações ao vivo via WebSocket, 8 guias operacionais, terminal integrado
• Aquisição de Alvos — Obter dispositivos vulneráveis via APIs Shodan, FOFA, ZoomEye, além de scraping gratuito (Censys, Onyphe, faceta gratuita do Shodan, InternetDB)
• Scanner de Vulnerabilidades — Scanner TCP/HTTP multi-thread com suporte a CIDR, fingerprinting de DVR, extração de credenciais
• Pós-Exploração — Shell telnet interativo, execução em massa de comandos em todos os dispositivos controlados, upload de arquivos
• Varredura de Vulnerabilidades Web — Detecção de CVEs (Log4Shell, Spring4Shell, Confluence, Ghostcat, Struts2, Jenkins, GitLab, Exchange, F5 BIG-IP, Citrix, MOVEit, Ivanti, vCenter, PHPUnit, GeoServer, Solr, WordPress) e testes de classes de bugs (SQLi, LFI, SSRF, XXE, Injeção de Comandos, ataques JWT, Tomada de Subdomínio, Contrabando HTTP, GraphQL, CORS)
• Exploração de Rede — SMB/EternalBlue, RDP/BlueKeep, VNC, FTP, SNMP, Redis, MongoDB, Elasticsearch, CouchDB, MySQL/MSSQL/PostgreSQL, Memcached, IPMI, Mirai-IoT
• Ataques de Credenciais — Força bruta multiprotocolo (Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC), pulverização de credenciais, cofre de credenciais
• Reconhecimento — Consulta/importação ASN, reconhecimento DNS completo (A/AAAA/MX/NS/TXT/SOA + brute de subdomínios + AXFR), fingerprinting TLS JARM, detecção de WAF, consulta GeoIP, varredura de portas com múltiplos presets
• Persistência — Injeção de chave pública SSH, backdoors cron, persistência init.d/systemd, implantação automatizada completa
• Reverse Shells — Gerador de payload (bash, python, perl, php, nc, ruby, node, lua, etc.), ouvinte multisessão com interação
• Pivoting — Execução de cadeia multi-hop, relay TCP, proxy SOCKS5 através de hosts comprometidos, varredura automática de pivot em redes locais
• Orquestração de Botnet — Marcação/agrupamento de bots, comandos fan-out, verificações de saúde, implantação de payload
• Inteligência e Notificações — Notificações via webhook Telegram/Discord, integração AbuseIPDB, captura de screenshot de câmera
• Agendador — Tarefas recorrentes automatizadas (varreduras, reconhecimento, verificações de saúde)

Arquitetura```

panel/ ├── server.py # Flask + SocketIO C2 web panel (~1200 lines, 50+ API routes) ├── database.py # SQLite ORM — 11 tables (cameras, vulns, creds, shells, DNS, ASN, etc.) ├── scanner.py # Multi-threaded TCP/HTTP vulnerability scanner ├── exploit.py # CVE-2020-25078 exploit — 37 vulnerable paths, 14 credential parsers ├── telnet_client.py # Raw telnet command execution against owned devices ├── brute.py # Multi-threaded brute force engine ├── web_exploit.py # Full website vulnerability scanner (CMS detection, exposed files, SQLi) ├── web_cves.py # CVE scanner — Log4Shell, Spring4Shell, Confluence, Ghostcat, etc. ├── web_bugs.py # Bug class scanner — SQLi, LFI, SSRF, XXE, CmdI, JWT, etc. ├── web_brute.py # Web brute force — forms, WordPress xmlrpc, Basic Auth, cred stuffing ├── network_exploit.py # Network service exploit scanner — SMB, RDP, VNC, databases, etc. ├── cred_spray.py # Multi-service credential spraying ├── recon_asn.py # ASN import, organization search, IP-to-ASN lookup ├── recon_dns.py # DNS recon — all record types, subdomain brute, zone transfer ├── recon_jarm.py # JARM TLS server fingerprinting ├── recon_waf.py # WAF detection and identification ├── recon_geoip.py # GeoIP lookup and bulk IP geolocation ├── portscan.py # TCP port scanner with banner grabbing, SYN option, multiple presets ├── persistence.py # SSH key injection, cron backdoors, full deployment ├── reverse_shell.py # Payload generator + multi-session listener ├── pivot_chain.py # Multi-hop command execution and TCP relay ├── socks_pivot.py # SOCKS5 proxy through compromised hosts ├── botnet.py # Bot grouping, fan-out commands, health checks, payload deployment ├── intel.py # Telegram/Discord webhooks, AbuseIPDB, screenshot capture ├── scheduler.py # APScheduler-based job scheduling ├── proxy_rotation.py # Proxy list rotation for stealth ├── stealth.py # Traffic obfuscation utilities ├── inject_key.py # SSH key injection variants ├── inject_ssh.py # SSH-based injection ├── launch.py # Simple launcher wrapper ├── auto_exploit.py # Automated exploitation routines ├── templates/ │ └── index.html # Dark-themed SPA — 8 tabs, real-time updates, terminal └── requirements.txt # Python dependencies

Passo 2 — Criar ambiente virtual (recomendado)```bash

python -m venv venv

Windows

venv\Scripts\activate

Linux / macOS

source venv/bin/activate

Passo 4 — (Opcional) Baixar wordlist

Os módulos de força bruta esperam uma wordlist rockyou.txt na raiz do projeto. Devido aos limites de tamanho de arquivo do GitHub (100MB), ela NÃO está incluída neste repositório.```bash

On Kali Linux, rockyou.txt is typically at:

cp /usr/share/wordlists/rockyou.txt.gz . gunzip rockyou.txt.gz

Or download from SecLists:

https://github.com/danielmiessler/SecLists/blob/master/Passwords/Leaked-Databases/rockyou.txt.tar.gz

Abra http://localhost:5000 no seu navegador.

O banco de dados é criado automaticamente na primeira execução — nenhuma configuração necessária.

Guia de Uso

O Painel

Quando você abre o painel pela primeira vez, verá:

• Barra de Estatísticas — Contadores ao vivo: Escaneados, Vulneráveis, Comprometidos, Online
• 8 Abas — Dispositivos, Reconhecimento, CVEs Web, Rede, Persistência, Rev Shells, Botnet, Configurações
• Terminal Embutido — Shell interativa para qualquer dispositivo selecionado
• Painel Lateral — Controles de varredura, informações do alvo, comando em massa, conjunto de ferramentas de pivô/carregamento/força bruta

Aba 1 — Dispositivos (Operações Principais)

Este é o seu centro de comando. Aqui você pode:

Buscar alvos de motores de busca:

• Selecione a fonte: Shodan, FOFA, ZoomEye, ou FREE (raspagem — nenhuma chave de API necessária)
• Insira a chave de API se usar Shodan/FOFA/ZoomEye
• Consulta personalizada ou deixe em branco para consultas padrão de DVR/câmera
• Clique em BUSCAR & ESCANEAR — os alvos são automaticamente escaneados ao chegar

Varredura manual:

• Insira um intervalo CIDR (ex.: 192.168.1.0/24)
• Ou um único IP e porta
• Defina o número de threads (padrão 50)
• Clique em ESCANEAR

Uma vez que dispositivos são comprometidos (aparecem na tabela):

• Clique em qualquer linha para selecioná-la — detalhes aparecem no painel lateral
• O terminal inferior é ativado para aquele dispositivo
• Use botões de comando rápido (CPU, UNAME, PS, IFCFG, NETSTAT, CREDS, PASSWD, LS)
• Digite comandos personalizados no terminal e pressione Enter

Operações em massa:

• Comando em Massa — execute o mesmo comando em TODOS os dispositivos possuídos simultaneamente
• Varredura de Pivô — use um dispositivo comprometido para escanear sua rede local em busca de mais alvos
• Carregar Arquivo — carregue um arquivo para o dispositivo remoto via codificação base64
• Força Bruta — força bruta de credenciais telnet no dispositivo selecionado

Modo de varredura web (alterne com o botão WEB):

• Insira uma URL ou IP para varredura completa de vulnerabilidades web
• Detecção de CMS, arquivos de configuração expostos, parâmetros de injeção SQL
• BUSCAR & ESCANEAR pega alvos web do Shodan free e os escaneia

Aba 2 — Reconhecimento

Seis módulos de reconhecimento:

Aba 3 — CVEs Web

Scanner de CVE — Verifica 20+ CVEs conhecidas: Log4Shell (CVE-2021-44228), Spring4Shell (CVE-2022-22965), Confluence (CVE-2022-26134), Ghostcat (CVE-2020-1938), Struts2 (CVE-2017-5638), Jenkins (CVE-2018-1000861), GitLab (CVE-2021-22205), Exchange ProxyShell/ProxyLogon, F5 BIG-IP (CVE-2022-1388), Citrix (CVE-2019-19781), MOVEit (CVE-2023-34362), Ivanti (CVE-2024-21887), vCenter (CVE-2021-21972), PHPUnit (CVE-2017-9841), GeoServer (CVE-2024-36401), Apache Solr (CVE-2019-17558), e vulnerabilidades de plugins WordPress.

Scanner de Classes de Bugs — Testa para: Injeção SQL Cega, Injeção de Comandos, Inclusão de Arquivo Local, Server-Side Request Forgery, XML External Entity, ataques JWT, Subdomain Takeover, Contrabando de Requisição HTTP, introspecção GraphQL, configuração incorreta de CORS.

Força Bruta Web — Quatro modos:

• Força bruta de formulário (detecta automaticamente formulários de login e parâmetros)
• Força bruta xmlrpc do WordPress
• Força bruta de Autenticação Básica HTTP
• Preenchimento de credenciais (usa credenciais previamente colhidas)

Os resultados aparecem na tabela Vulnerabilidades Descobertas abaixo.

Aba 4 — Rede

Scanner de Exploração de Rede — Verifica serviços de rede comuns por vulnerabilidades conhecidas: SMB (EternalBlue, SMBGhost), RDP (BlueKeep), VNC (bypass de autenticação), FTP (acesso anônimo), SNMP (comunidades padrão), Redis (sem autenticação), MongoDB (sem autenticação), Elasticsearch (sem autenticação), CouchDB (sem autenticação), MySQL/MSSQL/PostgreSQL (credenciais padrão), Memcached (sem autenticação), IPMI (bypass de autenticação), padrões Mirai-IoT.

Spray de Credenciais — Pulveriza credenciais colhidas ou personalizadas em múltiplos serviços: Telnet, SSH, FTP, HTTP Basic, WordPress, SMB, Redis, MySQL, MongoDB, VNC, ou TODOS de uma vez.

Os resultados preenchem a tabela Vulnerabilidades de Rede e o Cofre de Credenciais.

Aba 5 — Persistência

Três ações de implantação para hosts comprometidos:

• Injeção de Chave SSH — Adiciona sua chave pública a /root/.ssh/authorized_keys (ou múltiplos caminhos)
• Backdoor Cron — Instala um job cron que chama de volta ao seu servidor C2
• Implantação Completa — Todas as técnicas combinadas: chave SSH + cron + persistência init.d/systemd

Cadeia de Pivô — Execute comandos através de múltiplos hosts intermediários:``` hop1 → hop2 → hop3 → command