Data Inject BOF

Eine Beacon-Object-File-Implementierung des Process-Injection-Beweiskonzepts aus meinem Blogbeitrag Control Flow Hijacking via Data Pointers.

Kapert den Kontrollfluss, indem es die Control-Flow-Guard-Funktionszeiger von combase.dll überschreibt, die von COM-Proxying-Funktionen aufgerufen werden.

Wichtige Hinweise

• Nach meinen Tests ist explorer.exe derzeit der beste Kandidat für einen einfachen Auslösemechanismus, da es stark auf COM-Proxying angewiesen ist. Ich empfehle, damit zu experimentieren.
• Stellen Sie sicher, dass der Shellcode 64-Bit ist, da dieser BOF nur 64-Bit-Beacons und Zielprozesse unterstützt.
• Dies wurde nur unter den Windows-Versionen Win10 21H2 (19044.5737) und Win11 24H2 (26100.3775) getestet.

Verwendung

datainject <pid> <shellcode path>

Beispiele

Für das Beispiel wird angenommen, dass alle Prozess-IDs 1234 sind.

In explorer.exe injizieren, Shellcode bei COM-Aufruf ausführen (kann durch Rechtsklick oder Öffnen des Datei-Explorers ausgelöst werden)

datainject 1234 C:\users\attacker\payloads\beacon_x64.bin

Referenzen

• Control Flow Hijacking via Data Pointers - Mein Blogbeitrag, der meine Methodik zur Waffenisierung dieses Angriffs vermittelt.
• Threadless Inject - Das Projekt, das mich zu dieser Forschung inspiriert hat.