ilankalendarov/pyhook공격적인 API 후킹 도구로, Frida를 사용하여 Windows API 호출을 가로채고 mstsc, runas, PowerShell, cmd, MobaXterm, UAC 프롬프트 등의 프로세스에서 자격 증명을 캡처합니다.
PyHook는 제 SharpHook 프로젝트의 Python 구현입니다. 다양한 API 후크를 사용하여 원하는 자격 증명을 획득합니다.
PyHook는 Frida를 사용하여 대상 프로세스에 의존성을 주입합니다.
| 프로세스 | API 호출 | 설명 | 진행 상태 |
|---|---|---|---|
| mstsc | CredUnPackAuthenticationBufferW | mstsc에서 CredUnPackAuthenticationBufferW를 후킹하여 사용자 이름과 비밀번호를 출력합니다. | 완료 |
| runas | CreateProcessWithLogonW | runas에서 CreateProcessWithLogonW를 후킹하여 사용자 이름, 비밀번호, 도메인 이름을 출력합니다. | 완료 |
| PowerShell | CreateProcessWithLogonW | PowerShell에서 CreateProcessWithLogonW를 후킹하여 사용자 이름, 비밀번호, 도메인 이름을 출력합니다(예: Start-Process cmd -Credential X). | 완료 |
| cmd | RtlInitUnicodeStringEx | cmd에서 RtlInitUnicodeStringEx를 후킹하여 특정 필터(예: -p, password 등)의 데이터를 출력합니다. | 완료 |
| MobaXterm | CharUpperBuffA | MobaXterm에서 CharUpperBuffA를 후킹하여 RDP 및 SSH 로그인의 자격 증명을 출력합니다. | 완료 |
| explorer (UAC 프롬프트) | CredUnPackAuthenticationBufferW | explorer에서 CredUnPackAuthenticationBufferW를 후킹하여 사용자 이름, 비밀번호, 도메인 이름을 출력합니다. | 완료 |
이 주제를 다루는 제 블로그 게시물 링크: https://ilankalendarov.github.io/posts/offensive-hooking
