搜索

[14985] 2020-02-07_LOLBITS：一款基于后台智能传输服务（BITS）的C#反向Shell

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2020-02-07_LOLBITS：一款基于后台智能传输服务（BITS）的C#反向Shell L O L B I T S ： 一 款 基 于 后 台 智 能 传 输 服 务 （ B I T S ） 的 C # 反 向 S h e l l A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 2 - 0 7 L O L B I T S L O L B I T S 是 一 款 是 一 款 C # 反 向 反 向 S h e l l ， 它 使 用 了 微 软 后 台 智 能 传 输 服 务 （ ， 它 使 用 了 微 软 后 台 智 能 传 输 服 务 （ B I T S ） 作 为 传 输 信 道 来 与 后 端 命 令 控 制 服 ） 作 为 传 输 信 道 来 与 后 端 命 令 控 制 服 务 器 进 行 交 互 。 后 台 的 命 令 控 制 服 务 器 基 于 务 器 进 行 交 互 。 后 台 的 命 令 控 制 服 务 器 基 于 F l a s k   W e b 应 用 程 序 构 建 ， 并 且 只 能 通 过 包 含 了 有 效 认 证 应 用 程 序 构 建 ， 并 且 只 能 通 过 包 含 了 有 效 认 证 H e a d e r 的 的 H T T P 请 求 来 与 之 通 信 。 请 求 来 与 之 通 信 。 L O L B I T S 由 以 下 三 个 部 分 组 成 ： 由 以 下 三 个 部 分 组 成 ： 1 、 C # 代 理 ， 它 负 责 在 受 感 染 主 机 中 执 行 控 制 命 令 ， 并 在 命 令 执 行 成 功 后 将 输 出 结 果 发 送 回 后 台 命 令 控 制 服 务 器 。 2 、 F l a s k   W e b 应 用 程 序 ， 它 作 为 中 间 的 调 度 程 序 ， 该 组 件 可 以 伪 装 成 合 法 网 站 来 隐 藏 后 端 的 C 2 基 础 设 施 ， 并 且 能 够 向 客 户 端 发 送 新 的 控 制 命 令 。 3 、 C & C 命 令 行 ， 可 以 用 来 控 制 代 理 。 为 了 防 止 通 讯 内 容 被 拦 截 或 窃 听 ， 代 理 与 C & C 服 务 器 之 间 的 通 信 内 容 会 使 用 R C 4 （ 基 于 预 共 享 密 钥 ） 进 行 加 密 。 L O L B I T S 的 逻 辑 架 构 如 下 图 所 示 ：   为 了 避 免 安 全 研 究 人 员 复 现 命 令 控 制 请 求 来 分 析 和 研 究 C & C 基 础 架 构 ， 每 个 身 份 验 证 H e a d e r 都 是 随 机 的 ， 并 且 只 在 一 个 周 期 内 有 效 。 工 具 依 赖 工 具 依 赖
后 台 的 C & C 基 础 设 施 需 要 一 台 W i n d o w s   S e r v e r   2 0 1 2 或 以 上 版 本 ， 并 安 装 P y t h o n   3 . 4 以 及 下 列 P y t h o n 依 赖 ： C o l o r a m a ： ： F l a s k ： ： 当 前 版 本 的 C # 客 户 端 已 在 W i n d o w s   S e r v e r   2 0 1 6 、 W i n d o w s   S e r v e r   2 0 1 9 、 W i n d o w s   8 . 1 和 W i n d o w s   1 0 平 台 上 成 功 测 试 。 编 译 环 境 如 下 ： V i s u a l   S t u d i o   2 0 1 7 及 其 以 上 版 本 . N E T   F r a m e w o r k   4 . 5 及 其 以 上 版 本 工 具 安 装 工 具 安 装 使 用 下 列 命 令 将 项 目 源 码 克 隆 至 C & C 服 务 器 中 ： 通 过 W i d n w o s 服 务 器 管 理 器 安 装 W e b   S e r v e r （ I I S ） ， 确 保 安 装 好 C G I 、 A S P . N E T 以 及 . N E T   E x t e n s i b i l i t y ： 并 且 为 I I S 安 装   . N E T   F r a m e w o r k 和 B I T S ： p i p   i n s t a l l   c o l o r a m a p i p   i n s t a l l   f l a s k g i t   c l o n e   h t t p s : / / g i t h u b . c o m / K u d a e s / L O L B I T S . g i t
安 装 w f a s t c g i 并 在 I I S 中 配 置 好 F a s t   C G I 设 置 。 这 里 要 求 我 们 的 W e b 应 用 程 序 采 用 P y t h o n 开 发 。 关 闭 默 认 网 站 ， 并 使 用 I I S 管 理 器 创 建 一 个 新 的 站 点 ， 并 为 该 站 点 启 用 B I T S 上 传 服 务 ： 将 本 项 目 中 C & C 目 录 下 的 “ t h e   c o n t e n t ” 文 件 拷 贝 到 本 地 主 机 中 的 站 点 物 理 目 录 内 ， 假 设 我 们 创 建 的 网 站 指 向 的 是 本 地 的 “ C : i n e t p u b w w w r o o t b i t s ” 目 录 ， 那 么 该 目 录 的 结 构 应 该 如 下 ： C : i n e t p u b w w w r o o t b i t s             | _ _   / c o n f i g                                               | - -   a u t h . t x t             | _ _   / f i l e s                       | - -   a b c d e 1 2 3 4                                           | - -   d e f a u l t             | _ _   / l o l b i n s
我 建 议 大 家 给 这 个 目 录 “ C : i n e t p u b w w w r o o t b i t s ” 提 供 E v e r y o n e 的 完 整 访 问 权 限 来 避 免 错 误 发 生 。 接 下 来 ， 编 辑 w e b . c o n f i g 文 件 ， 修 改 下 列 两 个 配 置 项 ： 1 、 针 对 W e b   H a n d l e r 的 s c r i p t P r o c e s s o r 属 性 ， 点 击 I I S 管 理 器 ， 在 I I S 服 务 器 的 根 路 径 选 择 F a s t C G I 设 置 ， 将 s c r i p t P r o c e s s o r 属 性 值 修 改 为 “ F u l l   P a t h | A r g u m e n t s ” ： 这 里 ， 我 将 s c r i p t P r o c e s s o r 属 性 设 置 为 了 ： 2 、 P Y T H O N P A T H ， 该 参 数 需 要 指 向 我 们 的 站 点 目 录 ， 即 “ C : i n e t p u b w w w r o o t b i t s ” 。 然 后 ， 修 改 初 始 安 装 常 量 ， 设 置 预 共 享 密 钥 的 密 码 ： 选 择 F l a s k 应 用 程 序 需 要 监 听 的 C # 代 理 U R L ： 在 m y a p p . p y 中 ， 设 置 A u t h P a t h 、 R e a d P a t h 和 P a y l o a d s 的 值 ， 分 别 指 向 W e b 目 录 中 对 应 的 文 件 夹 。 在 l a w l b i n . p y   ( l o l b i n s 目 录 ) 中 设 置 b a s e R e a d P a t h 和 b a s e W r i t e P a t h 的 值 ， 分 别 指 向 W e b 目 录 中 对 应 的 文 件 夹 。 在 i n j e c t . p y   ( l o l b i n s   f o l d e r ) 中 设 置 _ _ p a y l o a d s 的 值 ， 这 个 值 需 要 跟 m y a p p . p y 中 的 P a y l o a d s 值 相 同 。 编 译 代 理 ， 并 在 受 感 染 的 主 机 中 运 行 。 编 译 完 成 后 ， 将 会 生 成 一 个 e x e 文 件 和 一 个 外 部 依 赖 文 件 ( N e w t o n s o f t . J s o n . d l l ) 。 你 也 可 以 使 用 I L M e r g e 来 生 成 一 个 单 独 的 e x e 文 件 ， 这 里 请 将 项 目 以 W i n d o w s   A p p l i c a t i o n 进 行 编 译 ：             | _ _   / l o l b i n s                       | - -   b a s e 6 4 d e c o d e . p y                       | - -   b a s e 6 4 e n c o d e . p y                       | - -   a   l o t   o f   o t h e r   . p y   f i l e s             | _ _   / t e m p l a t e s                   | - -   i n d e x . h t m l             | _ _   / s t a t i c             | _ _   / p a y l o a d s             | _ _   - -   d e c r y p t . p y             | _ _   - -   e n c r y p t . p y             | _ _   - -   m y a p p . p y             | _ _   - -   w e b . c o n f i g “ c : p y t h o n 3 . 4 p y t h o n . e x e | c : p y t h o n 3 . 4 l i b s i t e - p a c k a g e s w f a s t c g i . p y ” P r o g r a m . c s   - >   P a s s w o r d 变 量 m y a p p . p y   - >   P a s s w o r d 变 量 l a w l b i n . p y   - >   p a s s w o r d 变 量 P r o g r a m . c s   - >   U r l 变 量
工 具 使 用 工 具 使 用 广 大 用 户 可 以 直 接 在 C & C 服 务 器 中 的 命 令 行 工 具 中 输 入 下 列 命 令 ， 并 在 受 感 染 的 主 机 中 运 行 C # 代 理 ， 即 可 开 始 使 用 L O L B I T S 了 ： 项 目 地 址 项 目 地 址 L O L B I T S ： h t t p s : / / g i t h u b . c o m / K u d a e s / L O L B I T S * 参 考 来 源 ： 参 考 来 源 ： K u d a e s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 p y t h o n   l a w l b i n . p y
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理