NiCOFF

In pratica, NiCOFF è un loader di file COFF e BOF scritto in Nim. NiCOFF legge un file BOF o COFF, lo analizza e lo esegue in memoria. L'intero progetto si basa sui progetti COFF Loader di Yasser e Kevin. Sia il loader che le funzioni beacon di questi progetti sono stati riscritti in Nim.

Compilazione

Puoi compilare direttamente il codice sorgente con il seguente comando:

nim c -d:release -o:NiCOFF.exe Main.nim

Nel caso in cui ottieni l'errore "cannot open file", devi anche installare le dipendenze richieste:

nimble install ptr_math winim

Utilizzo

NiCOFF può accettare fino a tre argomenti: il percorso del file BOF o COFF, il punto di ingresso della funzione (potresti voler cambiare il puntatore alla funzione) e argomenti BOF opzionali (puoi controllare lo script di Kevin).

PS C:\Users\test\Desktop\NiCOFF\bin> .\NiCOFF.exe .\ipconfig.x64.o go
 ______  _  ______ _____  _______ _______
|  ___ \(_)/ _____) ___ \(_______|_______)
| |   | | |_| /    | |   | |_____   _____
| |   | | | | |    | |   | |  ___) |  ___)
| |   | | | \____| |___| | |     | |
|_|   |_|_|\______)_____/|_|     |_|

                @R0h1rr1m

[+] File is read!
[+] Sections are copied!
  [+] Relocations for section: .text
  [+] Relocations for section: .data
  [+] Relocations for section: .bss
  [+] Relocations for section: .xdata
  [+] Relocations for section: .pdata
  [+] Relocations for section: .rdata
  [+] Relocations for section: /4
[+] Relocations are done!
[+] Trying to find the entry: go
[+] go entry found!
[+] Executing...
[+] COFF File is Executed!
[+] Output Below:

Riferimenti

• https://github.com/trustedsec/COFFLoader
• https://github.com/Yaxser/COFFLoader2
• https://0xpat.github.io/Malware_development_part_8/
• https://blog.cloudflare.com/how-to-execute-an-object-file-part-1/

Esclusione di responsabilità

Solo per test di sicurezza autorizzati. L'uso improprio di questo strumento contro sistemi senza esplicita autorizzazione è illegale.