Visão Geral

WnfExec é uma biblioteca de prova de conceito em C# que injeta shellcode em um processo sequestrando um callback de assinatura WNF e então acionando uma mudança de estado. Não há nada de novo aqui e foi construída com base na pesquisa de outros. Minha intenção era solidificar o conceito em minha mente, documentar a jornada e fornecer meu código ao longo do caminho.

Siga-me no Twitter para mais lançamentos de ferramentas em breve! @ustayready

Requisitos

• .NET Framework 4.5
• Shellcode x64
• Processo x64 para injetar

Uso

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

Trabalhos/Pesquisas Anteriores

Como mencionei na palestra minha e do Beau Bullock (@dafthack) na WWHF 2018, a maior parte da minha pesquisa sobre WNF se deve ao fato de eu estar sobre os ombros de gigantes que vieram antes de mim. Embora a lista não seja exaustiva, as seguintes pesquisas e trabalhos anteriores me ajudaram a compreender os fundamentos necessários para integrar esses tipos de técnicas aos serviços de red team que oferecemos na CrowdStrike.

Alex Ionescu e Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: Peeling the Onion of the Most Undocumented Kernel Attack Surface Yet
• Brincando com o Windows Notification Facility

Redplait Research

• WNF Notifiers
• WNF State IDs

Odzhan

• Injeção de Processo do Odzhan

Amit Klein e Itzik Kotler

• Blackhat 2019: Process Injection Techniques - Gotta Catch Them All

Exemplos de Código

• Meus Payloads .NET Persistentes em WNF
• Injeção WNF do Odzhan
• WindfarmDynamite do FuzzySec (exemplo super útil!)
• WNFun do Alex/Gabby
• Ferramentas WNF P0 do Tyranid