WebDAVC2

ПОСЛЕДНЯЯ/ТЕКУЩАЯ ВЕРСИЯ: 0.3

Автор: Arno0x0x - @Arno0x0x

WebDavC2 — это PoC использования протокола WebDAV с только запросами PROPFIND в качестве канала связи C2 между агентом, работающим на целевой системе, и контроллером, выступающим в роли сервера C2.

Инструмент распространяется на условиях лицензии GPLv3.

Информация о предпосылках

Ознакомьтесь с этим постом в блоге о том, как и почему я придумал идею использования только запросов PROPFIND WebDAV в качестве канала C2:

Wordpress: Использование функций WebDAV в качестве скрытого канала

Архитектура

WebDavC2 состоит из:

• контроллера, написанного на Python, который выступает в роли сервера C2
• агента, написанного на C#/.Net, работающего на целевой системе, доставляемого на целевую систему с помощью различных начальных загрузчиков (stagers)
• различных вариантов начальных загрузчиков (создаваемых на лету при запуске контроллера), используемых для первоначальной компрометации целевой системы

Возможности

Основные возможности WebDavC2:

• Различные stager (однострочник powershell, пакетный файл, различные типы макросов MS-Office, файл JScript) — это не ограничивает, вы можете легко придумать свои собственные, загляните в папку templates, чтобы получить представление
• Псевдоинтерактивная оболочка (с сохранением окружения)
• Автоматический запуск службы WebClient, даже от непривилегированного пользователя с помощью трюка 'pushd'

Установка и настройка

Установка довольно проста:

• Клонируйте этот репозиторий: git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• перейдите в папку WebDavC2: cd WebDavC2
• Дайте права на выполнение основного скрипта: chmod +x webDavC2.py

Чтобы запустить контроллер, просто введите ./webDavC2.py.

Компиляция собственного агента

Хотя вполне нормально использовать предоставленный agent.exe, вы можете очень легко скомпилировать собственные исполняемые файлы агента из предоставленного исходного кода. Вам не нужна установленная Visual Studio.

• Скопируйте файл agent/agent.cs на машину с Windows с установленным .Net framework
• Перейдите в исходный каталог (cd)
• Используйте компилятор C# из командной строки .Net:
  • Чтобы получить стандартный исполняемый файл агента: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • Чтобы получить отладочную версию: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ

Этот инструмент предназначен для использования только в законных и легитимных целях:

• либо на ваших собственных системах в качестве средства обучения, демонстрации того, что можно сделать и как, или тестирования ваших механизмов защиты и обнаружения
• на системах, на которые вы получили официальное и законное разрешение проводить оценку безопасности (пентесты, аудиты безопасности)

Цитируя авторов Empire: Невозможно создавать наступательные инструменты, полезные для законной индустрии информационной безопасности, одновременно предотвращая их злоупотребление злоумышленниками.

TODO

Этот инструмент — всего лишь PoC, поэтому не ожидайте производственного качества, к тому же у него есть произвольные ограничения по объему данных, которые могут быть переданы от агента обратно контроллеру.

Что добавить:

• больше stagers?

Что исправить:

• Увеличить (произвольный) лимит размера вывода команд, который может быть возвращен контроллеру
• Жду обратной связи :)