MassDriver

シェルコードからアーティファクトへの機密API呼び出しをプロキシし、CET互換のクリーンなコールスタックを実現します。

私のブログ記事の付属PoC: Stop Being Weird — Life After Call Stack Spoofing Under CET

ビルド

MinGWにはCET互換フラグを設定する方法がないため、CETでビルドするにはllvm-mingwが必要です。

デフォルトでは./payload/testDll.cをペイロードとしてビルドします。これはLoadLibraryAとSleepを呼び出すため、コールスタックを検査できます。

• libtcg.x64.zipのコピーを./tcg/に配置します
• Crystal Palaceのdist/ディレクトリを./tcg/distに配置します
• make poc

Cobalt Strike

• rawDll.cnaをロードし、Payloads->Stageless Payload Generatorでペイロードを生成します
• ./bin/payload.dllに出力します
• make cs