अवलोकन

WnfExec एक C# प्रूफ ऑफ कॉन्सेप्ट लाइब्रेरी है जो WNF सब्सक्रिप्शन कॉलबैक को हाईजैक करके और फिर स्टेट परिवर्तन ट्रिगर करके एक प्रोसेस में शेलकोड इंजेक्ट करती है। यहाँ कुछ नया नहीं है और इसे दूसरों के शोध के आधार पर बनाया गया है। मेरा इरादा इस अवधारणा को अपने दिमाग में मजबूत करना, यात्रा का दस्तावेजीकरण करना और साथ ही अपना कोड प्रदान करना था।

कुछ और टूल रिलीज़ के लिए जल्द ही मुझे Twitter पर फॉलो करें! @ustayready

आवश्यकताएँ

• .NET Framework 4.5
• x64 Shellcode
• x64 Process to inject into

उपयोग

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

पिछला कार्य/शोध

जैसा कि मैंने Beau Bullock (@dafthack) और मेरी WWHF 2018 वार्ता में उल्लेख किया था, मेरा अधिकांश WNF शोध इसलिए है क्योंकि मैं अपने पहले के दिग्गजों के कंधों पर खड़ा था। हालाँकि यह सूची संपूर्ण नहीं है, निम्नलिखित पूर्व शोध और कार्य ने मुझे उन मूलभूत बातों को समझने में मदद की जो CrowdStrike में हमारे द्वारा प्रदान की जाने वाली रेड टीम सेवाओं में इस प्रकार की तकनीकों को एकीकृत करने के लिए आवश्यक हैं।

Alex Ionescu और Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: अब तक की सबसे अप्रलेखित कर्नेल अटैक सतह का प्याज छीलना
• Windows Notification Facility के साथ खेलना

Redplait Research

• WNF नोटिफायर
• WNF स्टेट आईडी

Odzhan

• Odzhan की प्रोसेस इंजेक्शन

Amit Klein और Itzik Kotler

• Blackhat 2019: प्रोसेस इंजेक्शन तकनीकें - सभी को पकड़ना होगा

कोड उदाहरण

• WNF में मेरे .NET पेलोड को स्थायी बनाना
• Odzhan का WNF इंजेक्शन
• FuzzySec का WindfarmDynamite (बहुत उपयोगी उदाहरण!)
• Alex/Gabby का WNFun
• Tyranid का P0 WNF टूलिंग