Wandererは、実行中のプロセスに関する情報を収集するオープンソースプログラムです。この情報には、整合性レベル、読み込まれたモジュールとしてのAMSIの有無、64ビットか32ビットかのアーキテクチャ、および現在のプロセスの特権レベルが含まれます。この情報は、プロセスインジェクションに最適な候補に合わせたペイロードを構築する際に非常に役立ちます。
このプロジェクトは、Offensive SecurityのPEN-300コースを進めていく中で開発を始めたものです。コースの中で特に気に入ったモジュールの一つがプロセスインジェクションと移行に関するセクションであり、その活動をより効率的に行えるツールを作りたいというインスピレーションを得ました。ShadowKhan氏には特に感謝します。彼からの貴重なフィードバックにより、このユーティリティの視覚的な魅力を高め、提案されたフィルタリング機能によって使いやすさを向上させる創造的な方向性を得ることができました。
PS C:\> .\wanderer.exe
>> Process Injection Enumeration
>> https://github.com/gh0x0st
Usage: wanderer [target options] <value> [filter options] <value> [output options] <value>
Target Options:
-i, --id, Target a single or group of processes by their id number
-n, --name, Target a single or group of processes by their name
-c, --current, Target the current process and reveal the current privilege level
-a, --all, Target every running process
Filter Options:
--include-denied, Include instances where process access is denied
--exclude-32, Exclude instances where the process architecture is 32-bit
--exclude-64, Exclude instances where the process architecture is 64-bit
--exclude-amsiloaded, Exclude instances where amsi.dll is a loaded process module
--exclude-amsiunloaded, Exclude instances where amsi is not loaded process module
--exclude-integrity, Exclude instances where the process integrity level is a specific value
Output Options:
--output-nested, Output the results in a nested style view
-q, --quiet, Do not output the banner
Examples:
Enumerate the process with id 12345
C:\> wanderer --id 12345
Enumerate all processes with the names process1 and processs2
C:\> wanderer --name process1,process2
Enumerate the current process privilege level
C:\> wanderer --current
Enumerate all 32-bit processes
C:\wanderer --all --exclude-64
Enumerate all processes where is AMSI is loaded
C:\> wanderer --all --exclude-amsiunloaded
Enumerate all processes with the names pwsh,powershell,spotify and exclude instances where the integrity level is untrusted or low and exclude 32-bit processes
C:\> wanderer --name pwsh,powershell,spotify --exclude-integrity untrusted,low --exclude-32
