trustedsec/pplfaultdumpbofCobalt Strike BOF che sfrutta un bypass di Windows Protected Process Light per eseguire il dump dei processi protetti, consentendo l'accesso alle credenziali da LSASS.
Si prega di consultare quel repository per tutte le ricerche originali e ulteriori informazioni. Questa conversione non modifica intenzionalmente gli IOC della versione originale dello strumento.
Prende il PPLFault originale e il DumpShellcode incluso originariamente e li combina tutti in un BOF pensato per Cobalt Strike.
Se desideri eseguirlo in altri progetti, prendi in considerazione l'utilizzo della nostra implementazione del runner BOF COFFLoader
Normalmente preferisco usare mingw-w64 per compilare i miei BOF, ma dato che questo exploit richiede una versione moderna di Windows 10 per funzionare, è stato più semplice convertire e compilare con cl.exe.
Devi avviare un prompt dei comandi per sviluppatori di Visual Studio nativo x64. Quindi, da quel prompt, esegui makebof.bat
La struttura di questo codice rispecchia fedelmente l'originale, ma i file di soluzione originali sono stati rimossi perché non vengono utilizzati in una build BOF. Inizia da entry.c poiché è il punto di ingresso del BOF e dove sono inclusi tutti gli altri file .h / .c.
Per prima cosa carica PPLFault.cna in Cobalt Strike.
Poi, in qualsiasi console, esegui pplfaultdump <pid> <outputpath>
Silhouette è coperta dalla licenza ELv2. Utilizza phnt di SystemInformer sotto la licenza MIT.
Ispirato da PPLdump di Clément Labro, che Microsoft ha corretto a luglio 2022.
ANGRYORCHARD è stato creato da Austin Hudson, che lo ha rilasciato quando Microsoft ha corretto PPLdump.
PPLFault di Gabriel Landau presso Elastic Security
