Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CallStackMasker — 타이머로 콜 스택을 동적으로 마스킹하는 PoC 구현 | Kitploit
도구/GitHubGitHub/cobalt-strike/callstackmasker
Post-ExploitationRed TeamingAdversarial Attack
GitHubcobalt-strike/callstackmasker

CallStackMasker

타이머로 콜 스택을 동적으로 마스킹하는 PoC 구현

저장소 보기
315373년 전Kitploit 검토 완료

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

CallStackMasker

이 저장소는 타이머를 사용하여 콜 스택을 동적으로 스푸핑하는 PoC 기법을 시연합니다. 임플란트가 슬립 상태에 들어가기 전에 타이머를 대기열에 추가하여 콜 스택을 가짜 스택으로 덮어쓴 다음, 실행을 재개하기 전에 원래 스택을 복원할 수 있습니다. 따라서 슬립 중에 임플란트의 메모리를 마스킹할 수 있는 것과 같은 방식으로 메인 스레드의 콜 스택도 마스킹할 수 있습니다.

전체 기술 분석은 다음 블로그 게시물을 참조하세요: https://www.cobaltstrike.com/blog/behind-the-mask-spoofing-call-stacks-dynamically-with-timers/.

기본적으로 이 PoC는 spoolsv.exe에서 가져온 정적 콜 스택을 모방합니다:

call_stack_masker_static

--dynamic 플래그가 제공되면 CallStackMasker는 접근 가능한 모든 스레드를 열거하고, 원하는 상태(WaitForSingleObjectEx)의 스레드를 찾아 해당 콜 스택과 시작 주소를 모방합니다. 아래에서 이를 확인할 수 있습니다:

call_stack_masker_dynamic_1 call_stack_masker_dynamic_3

NB 참고 사항으로, 이 PoC는 다음 Windows 빌드에서 테스트되었습니다:

22h2 (19045.2486)

다른 버전에서는 테스트되지 않았으며, 다른 Windows 빌드에서는 작동하지 않을 수 있습니다.

크레딧

  • 이 PoC의 기반이 된 슬립 난독화 기법을 제공한 Ekk0 (https://github.com/Cracked5pider/Ekko).
  • 콜 스택 조작에 대한 예제 코드를 제공한 WithSecureLabs의 CallStackSpoofer (https://github.com/WithSecureLabs/CallStackSpoofer) 및 TickTock (https://github.com/WithSecureLabs/TickTock).
  • 스레드 열거 예제 코드를 제공한 Hunt-Sleeping-Beacons (https://github.com/thefLink/Hunt-Sleeping-Beacons).
도구 다운로드