Data Inject BOF

Una implementación en beacon object file de la prueba de concepto de inyección de procesos de mi entrada de blog Control Flow Hijacking via Data Pointers.

Secuestra el flujo de control sobrescribiendo los punteros de función de Control Flow Guard de combase.dll que son llamados por las funciones de proxy COM.

Notas importantes

• Según mis pruebas, explorer.exe es actualmente el mejor candidato en cuanto a un mecanismo de activación sencillo, debido a su gran dependencia del proxy COM. Recomiendo experimentar.
• Asegúrate de que el shellcode sea de 64 bits, ya que este BOF solo admite beacons y procesos de destino de 64 bits.
• Esto solo se ha probado en las versiones de Windows Win10 21H2 (19044.5737) y Win11 24H2 (26100.3775).

Uso

datainject <pid> <shellcode path>

Ejemplos

A modo de ejemplo, se ha asumido que todos los IDs de proceso son 1234

Inyectar en explorer.exe y ejecutar el shellcode al realizar una llamada COM (se puede activar haciendo clic derecho o abriendo el explorador de archivos)

datainject 1234 C:\users\attacker\payloads\beacon_x64.bin

Referencias

• Control Flow Hijacking via Data Pointers - Mi entrada de blog donde explico mi metodología para convertir esto en un arma.
• Threadless Inject - El proyecto que me inspiró a comenzar esta investigación.