Panoramica

WnfExec è una libreria proof of concept in C# che inietta shellcode in un processo dirottando una callback di sottoscrizione WNF e poi attivando un cambio di stato. Non c'è nulla di innovativo qui: è stata costruita sulla base delle ricerche di altri. La mia intenzione era di consolidare il concetto nella mia testa, documentare il percorso e fornire il codice lungo la strada.

Seguimi su Twitter per altri tool in arrivo presto! @ustayready

Requisiti

• .NET Framework 4.5
• x64 Shellcode
• Processo x64 in cui iniettare

Utilizzo

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

Lavoro/Ricerche precedenti

Come ho accennato nel talk che io e Beau Bullock (@dafthack) abbiamo tenuto al WWHF 2018, la maggior parte della mia ricerca su WNF è dovuta al fatto che sono salito sulle spalle di giganti che mi hanno preceduto. Sebbene l'elenco non sia esaustivo, le seguenti ricerche e lavori precedenti mi hanno aiutato a comprendere i fondamenti necessari per integrare questi tipi di tecniche nei servizi di red team che offriamo a CrowdStrike.

Alex Ionescu e Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: Sbucciare la cipolla della superficie di attacco del kernel più non documentata finora
• Giocando con la Windows Notification Facility

Ricerca di Redplait

• Notificatori WNF
• ID di stato WNF

Odzhan

• Process Injection di Odzhan

Amit Klein e Itzik Kotler

• Blackhat 2019: Tecniche di Process Injection - Gotta Catch Them All

Esempi di codice

• I miei payload .NET persistenti in WNF
• Iniezione WNF di Odzhan
• WindfarmDynamite di FuzzySec (esempio super utile!)
• WNFun di Alex/Gabby
• Strumenti P0 WNF di Tyranid