NiCOFF

Im Grunde ist NiCOFF ein COFF- und BOF-Dateilader, geschrieben in Nim. NiCOFF liest eine BOF- oder COFF-Datei, analysiert und führt sie im Speicher aus. Das gesamte Projekt basiert auf den COFF-Loader-Projekten von Yasser und Kevin. Sowohl die Loader- als auch die Beacon-Funktionen dieser Projekte wurden in Nim neu geschrieben.

Kompilierung

Sie können den Quellcode direkt mit dem folgenden Befehl kompilieren:

nim c -d:release -o:NiCOFF.exe Main.nim

Falls Sie den Fehler "cannot open file" erhalten, sollten Sie auch die erforderlichen Abhängigkeiten installieren:

nimble install ptr_math winim

Verwendung

NiCOFF kann bis zu drei Argumente entgegennehmen: den Pfad zur BOF- oder COFF-Datei, den Einstiegspunkt der gestarteten Funktion (Sie möchten möglicherweise den Funktionszeiger ändern) und optionale BOF-Argumente (Sie können Kevins Skript überprüfen).

PS C:\Users\test\Desktop\NiCOFF\bin> .\NiCOFF.exe .\ipconfig.x64.o go
 ______  _  ______ _____  _______ _______
|  ___ \(_)/ _____) ___ \(_______|_______)
| |   | |_| /    | |   | |_____   _____
| |   | | | |    | |   | |  ___) |  ___)
| |   | | | \____| |___| | |     | |
|_|   |_|_|\______)_____/|_|     |_|

                @R0h1rr1m

[+] File is read!
[+] Sections are copied!
  [+] Relocations for section: .text
  [+] Relocations for section: .data
  [+] Relocations for section: .bss
  [+] Relocations for section: .xdata
  [+] Relocations for section: .pdata
  [+] Relocations for section: .rdata
  [+] Relocations for section: /4
[+] Relocations are done!
[+] Trying to find the entry: go
[+] go entry found!
[+] Executing...
[+] COFF File is Executed!
[+] Output Below:

Referenzen

• https://github.com/trustedsec/COFFLoader
• https://github.com/Yaxser/COFFLoader2
• https://0xpat.github.io/Malware_development_part_8/
• https://blog.cloudflare.com/how-to-execute-an-object-file-part-1/

Haftungsausschluss

Nur für autorisierte Sicherheitstests. Die missbräuchliche Verwendung dieses Tools gegen Systeme ohne ausdrückliche Genehmigung ist illegal.