GitBackdorizer (BETA)

GitBackdorizer 是一个概念验证工具，完全受 Ulisses Castro 的演讲 50 ton of backdoors 启发，利用用户注意力缺失的特性来窃取 Git 访问凭据。

工作原理

GitBackdorizer 由三个组件组成：处理程序、投放器和载荷。

处理程序

处理程序启动一个 HTTP 服务器用于捕获凭据，并提供菜单以配置投放器的载荷。投放器的分发由攻击者负责。

投放器

投放器设计为具有尽可能高的兼容性，避免使用任何非 sh 特有的功能。其工作方式如下：

• 识别被植入后门的 Git 钩子是 pre-push 钩子还是其他钩子
• 将后门载荷放入指定钩子文件
• 赋予执行权限

载荷

载荷同样设计为具有尽可能高的兼容性，避免非 sh 特性。目前有两种类型的载荷：通用型和 pre-push 专用型。

通用型载荷通过以下方式尝试识别远程仓库类型（HTTPS/SSH）：

• 检查当前分支：git branch --contains HEAD
• 收集分支的远程名称（通过 git config）
• 收集远程名称对应的远程 URL（通过 git config） 然后判断 URL 是 https 还是 ssh。

pre-push 型载荷会直接检查提供的 Git 信息中的 URL（pre-push 的第二个钩子参数）。

演示

如何使用 gitbackdorizer 利用用户信任并窃取其凭据：

GitBackdorizer - 窃取凭据

致谢

• Ulisses Castro - 50 ton of backdoors (https://www.slideshare.net/ulissescastro/50-ton-of-backdoors)
• Giovani Silva - 编写了感染 Shell 脚本