Description

Un outil pour générer des gadgets sérialisés .NET capables de déclencher le chargement/l'exécution d'assemblys .NET lors de la désérialisation via BinaryFormatter à partir de scripts JS/VBS/VBA.
Le gadget actuel déclenche un appel à Activator.CreateInstance() lors de la désérialisation via BinaryFormatter à partir de jscript/vbscript/vba, ce qui signifie qu'il peut être utilisé pour déclencher l'exécution de l'assembly .NET de votre choix via le constructeur par défaut/public.

L'outil a été créé principalement pour automatiser l'armement de scripts WSH pour des engagements de red team (Accès Initial, Mouvement Latéral, Persistance). Le chargeur de shellcode utilisé pour la preuve de concept (PoC) a été retiré et remplacé par un exemple d'assembly implémenté dans le projet TestAssembly.

Détails :

Contourne AMSI sans avoir à mettre à jour la clé de registre AmsiEnable ni à détourner loadlibrary (AMSI.dll).
Contourne les contrôles nouvellement introduits dans .NET 4.8+ visant à bloquer les vérifications de type "Assembly.Load" et ActivitySurrogateSelector.
Le gadget prend en charge la désérialisation correcte des charges utiles ciblant des environnements .NET Framework 3.5 à 4.8+.
Dépend d'ActivitySurrogateSelector pour créer une classe Surrogate qui agit comme un wrapper afin de désérialiser un gadget conçu pour déclencher un appel à "Activator.CreateInstance(Assembly.Load(your_assembly_bytes).GetType())".
Exploite un gadget basé sur TextFormattingRunProperties comme première étape de désérialisation pour désactiver la vérification de type d'ActivitySurrogateSelector, contournant ainsi les correctifs introduits récemment dans (.NET Framework 4.8+).
Ne repose pas principalement sur l'exposition d'un objet COM basé sur .NET, il n'est donc pas nécessaire d'appeler d.DynamicInvoke(al.ToArray()).CreateInstance(entry_class).
Les délégués sont utilisés uniquement pour déclencher l'exécution de la charge utile pendant la désérialisation (Func<Assembly, IEnumerable>), une exigence pour un chaînage correct des éléments du gadget.
La longueur des gadgets ou flux sérialisés est calculée à l'exécution et automatiquement renseignée dans les scripts WSH générés (non requis pour VBA).


`-w, --scriptType=js`	`Définir sur js, vbs, vba ou hta`
`-a, --assembly=TestAssembly.dll`	`Assembly .NET, exemple : -a C:\Users\userX\Desktop\shellcode_loader.dll/exe, ou vous pouvez spécifier un fichier source c# à la place en utilisant l'option de ligne de commande -c.`
`-c, --csfile=TestAssembly.cs`	`Fichier de code source C#, exemple : -c C:\Users\userX\Desktop\shellcode_loader.cs, assurez-vous de placer votre code dans le constructeur par défaut de votre classe et de spécifier les dépendances requises à l'aide de l'option -d.`
`-d, --references=Example.dll`	`Assemblys de référence, exemple : -d System.Window- s.Forms.dll, System.dll`
`-b, --bypass`	`Contourne les contrôles de vérification de type introduits dans .NET version 4.8+, par défaut défini sur false, passez à true (--bypass/-b) si les scripts WSH sont générés pour s'exécuter sur des environnements .NET version > 4.8+. Cette option ne doit être utilisée qu'avec l'exécutable G2JS .NET 4.x`
`-e, --encodeType=b64`	`Encodage des gadgets VBA : b64 ou hex (défaut défini sur b64)`
`-o, --output=output`	`Fichier de sortie de la charge utile générée, exemple : -o C:\Users\userX\Desktop\output (sans extension)`
`-r, --regfree`	`activation sans inscription (registration-free) des composants COM basés sur .NET, applicable uniquement aux scripts JS/HTA.`
`-h, --help`	`Afficher l'aide`

GadgetToJScript

Populaires

Utilisation et notes :

Astuce OPSEC :

Crédits et références

Avertissement