codextf2/cobaltstrike_bofloaderport/reimplementação de código aberto do Cobalt Strike BOF Loader como está
Este é um port/reimplementação open source do Cobalt Strike BOF Loader como está. Na maior parte, tudo é feito como no Beacon + Teamserver originais do Cobalt Strike.
Isso inclui limitações que são resolvidas em outros loaders COFF open source, como o TrustedSec COFFLoader. Isso é intencional. O objetivo deste projeto não é criar um loader COFF bom, mas sim um análogo open source da implementação específica do Cobalt Strike, para ajudar na depuração em casos extremos onde BOFs funcionam em outros loaders COFF, mas não no Cobalt Strike.
./compile.bat
python bof_pack.py Msgbox.x64.o -o bof.blob
./bofloader.exe .\bof.blob
O Cobalt Strike BOF Loader me deu inúmeros problemas no passado ao desenvolver BOFs, especialmente com seções (COMDATs, estou olhando para vocês) que não são tratadas pelo loader do Beacon. Isso é especialmente frustrante quando os problemas não são reproduzíveis em loaders COFF open source, que se beneficiam de maior depurabilidade.
Para piorar, o Cobalt Strike BOF Loader nem sequer aceita COFFs completos diretamente; há um processamento feito no lado do teamserver, que é pouco documentado. O blob resultante enviado ao Beacon é muito menor que o COFF original, e o formato não é documentado.
Este projeto visa ser uma réplica 1:1 verdadeira da implementação do Cobalt Strike, onde qualquer problema em um deve ser reproduzível no outro.