概要

WnfExec は、WNF サブスクリプションコールバックをハイジャックして状態変更をトリガーすることで、シェルコードをプロセスに注入する C# の概念実証ライブラリです。ここには新しいものはなく、他の研究者の調査に基づいて構築されています。私の意図は、コンセプトを自分の頭の中で固め、その過程を文書化し、途中でコードを提供することでした。

近々、さらにツールをリリースします。Twitterでフォローしてください！ @ustayready

必要条件

.NET Framework 4.5
x64 シェルコード
x64 注入先プロセス

使用方法

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

先行研究と関連資料

Beau Bullock（@dafthack）と私が WWHF 2018 で話した際にも述べたように、私の WNF 調査のほとんどは、先人たちの研究の上に成り立っています。網羅的ではありませんが、以下の先行研究と成果は、CrowdStrike で提供している Red Team サービスにこれらの手法を統合するために必要な基本を理解する上で役立ちました。

Alex Ionescu と Gabrielle Viala

Redplait Research

Odzhan

Odzhan のプロセス注入

Amit Klein と Itzik Kotler

Blackhat 2019: プロセス注入テクニック - 全部捕まえろ

コード例

wnfexec

人気