
الحركة الجانبية باستخدام DCOM واختطاف DLL
| الفئة | مسار DLL | العملية | البنية |
|---|
| WordPad Document | C:\Program Files\Windows NT\Accessories\XmlLite.dll | wordpad.exe | x64 |
| CLSID_ContactReadingPane | C:\Program Files\Common Files\System\UxTheme.dll | prevhost.exe | x64 |
| User OOBE Create Elevated Object Server | C:\Windows\System32\oobe\USERENV.dll | dllhost.exe | x64 |
| MSDAINITIALIZE* | C:\Program Files\Common Files\System\Ole DB\bcrypt.dll | dllhost.exe | x64 |
| ShapeCollector Class | C:\Program Files\Common Files\Microsoft Shared\ink\DUI70.dll | ShapeCollector.exe | x64 |
| Microsoft WBEM Unsecured Apartment | C:\Windows\System32\wbem\wbemcomn.dll | unsecapp.exe | x64 |
| Microsoft WBEM Active Scripting Event Consumer Provider | C:\Windows\System32\wbem\wbemcomn.dll | scrcons.exe | x64 |
| Voice Toast Callback* | C:\Windows\System32\WinBioPlugIns\MFPlat.dll | svchost.exe | x64 |
| Add to Windows Media Player list | C:\Program Files (x86)\Windows Media Player\ATL.dll | setup_wm.exe | x86 |
| Windows Media Player Burn Audio CD Handler | C:\Program Files (x86)\Windows Media Player\PROPSYS.dll | wmplayer.exe | x86 |
* Windows 11 وWindows Server 2022 فقط
يتضمن هذا المستودع Cobalt Strike BOF وسكربت Impacket لنسخ DLL وإنشاء كائن COM. كما يتضمن تعريفات التصدير وقالب DLL أساسي.
قالب DLL بسيط مضمّن لأغراض الاختبار. تتغير إعادة توجيه التصديرات المطلوبة قليلاً بين الإصدارات، مما قد يكسر أحيانًا عملية الاختطاف. تم تضمين سكربت أدوات لإنشاء تعريفات تصديرات لـ DLL المستهدفة. ملفات التعريف الخاصة بـ Windows Server 2022/11 و10 موجودة في دليل exports. يمكنك تعديل السطر الأول من Makefile لتحديد اسم دليل التصدير. إذا كنت تبحث عن DLL من إصدار معين من Windows، فإن Winbindex يعد مصدرًا رائعًا.
يتطلب كلا التنفيذين تحديد أحد أسماء الفئات المختصرة التالية:
upload-dll <class name> <target IP or hostname> [DLL path]
create-object <class name> <target IP or hostname>
dcomhijack.py -object <class name> [[domain/]username[:password]@]<targetName or address>
تم اختبار BOF وسكربت Impacket على إصدارات/بنى Windows التالية: