개요

WnfExec는 WNF 구독 콜백을 가로챈 다음 상태 변경을 트리거하여 셸코드를 프로세스에 주입하는 C# 개념 증명 라이브러리입니다. 새로운 것은 없으며 다른 사람들의 연구를 기반으로 구축되었습니다. 제 의도는 개념을 머릿속에 확고히 하고, 여정을 문서화하고, 그 과정에서 제 코드를 제공하는 것이었습니다.

곧 더 많은 도구 릴리스를 위해 Twitter에서 저를 팔로우하세요! @ustayready

요구 사항

• .NET Framework 4.5
• x64 셸코드
• 주입할 x64 프로세스

사용법

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

이전 작업/연구

제가 Beau Bullock (@dafthack)과 함께 WWHF 2018에서 발표할 때 언급했듯이, 제 WNF 연구의 대부분은 저보다 먼저 길을 닦아준 거인들의 어깨 위에 서 있었기 때문에 가능했습니다. 이 목록이 완전하지는 않지만, 다음의 이전 연구와 작업들은 CrowdStrike에서 제공하는 레드 팀 서비스에 이러한 유형의 기술을 통합하는 데 필요한 기본 개념을 이해하는 데 도움이 되었습니다.

Alex Ionescu 및 Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: 가장 문서화되지 않은 커널 공격 표면의 양파 껍질 벗기기
• Windows Notification Facility 가지고 놀기

Redplait Research

• WNF 알리미
• WNF 상태 ID

Odzhan

• Odzhan의 프로세스 주입

Amit Klein 및 Itzik Kotler

• Blackhat 2019: 프로세스 주입 기술 - 모두 잡아라

코드 예제

• WNF에서 .NET 페이로드 유지하기
• Odzhan의 WNF 주입
• FuzzySec의 WindfarmDynamite (매우 유용한 예제!)
• Alex/Gabby의 WNFun
• Tyranid의 P0 WNF 도구