• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Двухкомпонентный php shellcode (source, soft, php)

Отслеживать
merdock

merdock

X-pert
Эксперт
Регистрация
09.06.2019
Сообщения
335
Реакции
259
Двухкомпонентный php shellcode (source, soft, php)

Проект двухкомпонентного шеллкода на php
Всем привет, решил выложить упрощенные исходники двухкомпонентного шеллкода. Данный код является небольшой частью большого проекта, сам шелл я взял упрощенный вариант. Проет бесплатный, для всех, не для продажи. Решил выложить в статьи, хотя может лучше было в софт или программирование, лень думать.

Почему он двухкомпонентный? Обычно все привыкли использовать шеллкоды наподобии WSO или PAS, где сам шеллкод имеет встроенную панель.
Но при реверсе я частенько нахожу двухкомпонентные шеллкоды (именно компонент шеллкода), второго компонента не попадалось, немного поискав панель или подобные шеллы - не нашел.
Решил разработать вторую часть, а именно панель управления, за основу я взял WSO :) . Вырезал оттуда основные элементы управления: Files, Info, Console, Sql, Php. Все разреверсил, преобразовал и воссоздал панель (написано просто, а геммора много :ce:).

Достоинства
- панель имеет простенькую авторизацию
- имеет возможность работы через прокси TOR/Socks
- шеллкод и панель имеют шифрованный канал связи
- есть простенький генератор уникального шеллкода
- шеллкод имеет маленький размер ~1кб
- красивый базовый дизайн bootstrap (можно вырезать)
- проект бесплатный
- кроссплатформенный
- работает на всех версиях php

Простенькая схема работы
yNpQmvY.png


Auth
0384FbG.png


Files
efLjiYM.png


CpCJleE.png


ItNngbf.png


w5t6IsD.png


3uHuJdr.png


xmiRTI9.png


WivLNd2.png


Info
9xjLWO2.png


Console
uYhFet0.png


Sql
SybWBNu.png


Php
RzzQ4QA.png


Скачать

Link: https://mega.nz/#!cZIwWYpS!UvqbngdR-7eR3Ajy92fh3molqCYA3YWQBxNjrv-c1To
Pass: shellcode



FAQ: появляюсь редко, отвечаю еще реже, ищи если действительно нужен, но с деньгами в кармане :di:
 
Последнее редактирование модератором:
Пожалуйста, обратите внимание, что пользователь заблокирован
RedBear сказал(а):
наикрутейшая штука!
merdock, ты вычеркнул один из моих пунктов todo.
поясните пожалуйста что это и для чего это)
 
Dtramp сказал(а):
поясните пожалуйста что это и для чего это)
Если коротко - это панель с генератором шеллкода пхп, этот шелл код закидываем на чужой веб сервер (как закидываем не спрашиваем) и потом в панели вбиваем url где шеллкод находиться и управляем веб сервером. (это слишком уж простое описание)
 
RedBear сказал(а):
наикрутейшая штука!
merdock, ты вычеркнул один из моих пунктов todo.
Тоже давно хотел это сделать, и вот добрались руки и сделал в менеджере шеллов, оттуда и вырел этот модуль и упростил шеллкод для публики. Самая суть - это сложность перехвата траффика АВ, а так же детектирование его, т.к. все сигнатуры хттп протокола случайные, в ВСО этого нет и большинство хостеров отсекают трафик его.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Это давно было уже реализовано, в мигере и еще какой-то шел мнеджер. Авторы вроде с експа были. Но они уже померли ^_^
 
2c71e9 сказал(а):
Это давно было уже реализовано, в мигере и еще какой-то шел мнеджер. Авторы вроде с експа были. Но они уже померли ^_^
выложи мигеру или еще какой-то менеджер.

Pernat1y сказал(а):
Ну, и ещё есть

GitHub - epinna/weevely3: Weaponized web shell

Weaponized web shell. Contribute to epinna/weevely3 development by creating an account on GitHub.
github.com
к сожалению, не везде работает.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
RedBear сказал(а):
выложи мигеру или еще какой-то менеджер.
Надо поискать) где-то были исходники
 
Вообще, супер шеллкод получился. Возможно, где-то и встречалось ранее. Но среди "широких масс" ("масс-маркет"), я точно не встречал.
merdock, с твоего позволения, перезалью картинки на форум, вдруг, файлообменник подохнет.
 
посмотрел код.
идея хорошая, но вот в реализации есть небольшие проблемы.

первая.
Безымянный.png

Хотя мы и видим, что выше обфусцированный код, который и должен выполнятся.

вторая.
Вот деобфусцированный кусок кода бекдора:
Безымянный2.png


а вот его обфусцированный вариант:
Безымянный3.png

Вполне может быть, что если оставить только create_function и include, а код не накрывать base64, то он продержится куда дольше. Кому-то даст пищу для размышлений. Можно (и нужно) переписать кусок с генерацией шелла.

ну и так, по приколу, веселушка:
снимок.png

В остальном - все равно, очень крутая штука.
 
RedBear сказал(а):
посмотрел код.

Всему есть разумное объяснение, кроме XSS :)

Изначально версия была без внедрения $_POST, эти данные передавались классически, но они были не шифрованны, отсюда было два варианта решения: или шифровать отдельно каждый $_POST или внедрить в тело кода, я выбрал второй вариант потому что он был проще, хотя не самый эффективный. Можно было бы конечно вообще избавиться от использования глобальной переменно, но тогда надо было бы перепахивать все ВСО, я не имел столько времени на такие извращения и выбрать путь наименьшего сопровтивления.

По поводу евал, как ты и заметил некоторая часть не работает на других версиях ПХП, евал же может быть заблокирован, поэтому причине была сделана выборка с проверкой использования работающего варианта. Кстати использование файла для инклуда тоже не очень решение - т.к. оставляет следы :) так что данный вариант функции с проверкой самый оптимальный вариант и тут сомневаюсь что есть смысл спорить.


Ну по поводу сочетания, я не считаю тот вариант который я сделал идеальным - это большей части как пример для рефакторинга и обучения (все исходники открыты). Более вариативный вариант я отправил Админу в приват. Но САМЫЙ улчший вариант - это не использовать вообще евал, а обфусцировать сам код, но такой универсальный генератор сделать не просто и его бы я не стал в паблик выкладывать. В нашем же случае можно сделать обфускацию жестко привязанную к этому шеллу, т.е. сообществу есть куда улучшать его и тем самым каждый будет иметь универсальную софтину.
 
А вот еще, я постарался как можно безболезненей перенести функционал ВСО поэтому многие решения были ради этого.
 
merdock сказал(а):
По поводу евал, как ты и заметил некоторая часть не работает на других версиях ПХП, евал же может быть заблокирован, поэтому причине была сделана выборка с проверкой использования работающего варианта. Кстати использование файла для инклуда тоже не очень решение - т.к. оставляет следы :) так что данный вариант функции с проверкой самый оптимальный вариант и тут сомневаюсь что есть смысл спорить.
Это я как раз понял. Просто если eval заблокирован, то деобфусцировать и выполнить другие варианты просто не выйдет. Шелл отдается то пакованным.
merdock сказал(а):
Более вариативный вариант я отправил Админу в приват.
И мне давай :cool:
merdock сказал(а):
Ну по поводу сочетания, я не считаю тот вариант который я сделал идеальным - это большей части как пример для рефакторинга и обучения (все исходники открыты).
Ну я пробежался по твоим сообщениям на exploit.in, всё понял. Ясно как шла мысль и т.д. Понял, какой менеджер шеллов ты имел в виду и т.д.
В любом случае - молодец.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх