gh0x0st/wandererИнструмент с открытым исходным кодом для перечисления внедрения процессов, написанный на C#
Wanderer — это программа с открытым исходным кодом, которая собирает информацию о запущенных процессах. Эта информация включает уровень целостности, наличие AMSI в качестве загруженного модуля, работает ли процесс как 64-битный или 32-битный, а также уровень привилегий текущего процесса. Эта информация чрезвычайно полезна при создании нагрузок, адаптированных для идеального кандидата на внедрение процесса.
Это проект, над которым я начал работать по мере прохождения курса Offensive Security's PEN-300. Один из моих любимых модулей курса — раздел о внедрении и миграции процессов, который вдохновил меня на создание инструмента, помогающего быть более эффективным во время этой деятельности. Особая благодарность ShadowKhan, который предоставил ценные отзывы, помогшие задать творческое направление, чтобы сделать эту утилиту визуально привлекательной и улучшить её удобство использования с помощью предложенных возможностей фильтрации.
PS C:\> .\wanderer.exe
>> Process Injection Enumeration
>> https://github.com/gh0x0st
Usage: wanderer [target options] <value> [filter options] <value> [output options] <value>
Target Options:
-i, --id, Target a single or group of processes by their id number
-n, --name, Target a single or group of processes by their name
-c, --current, Target the current process and reveal the current privilege level
-a, --all, Target every running process
Filter Options:
--include-denied, Include instances where process access is denied
--exclude-32, Exclude instances where the process architecture is 32-bit
--exclude-64, Exclude instances where the process architecture is 64-bit
--exclude-amsiloaded, Exclude instances where amsi.dll is a loaded process module
--exclude-amsiunloaded, Exclude instances where amsi is not loaded process module
--exclude-integrity, Exclude instances where the process integrity level is a specific value
Output Options:
--output-nested, Output the results in a nested style view
-q, --quiet, Do not output the banner
Examples:
Enumerate the process with id 12345
C:\> wanderer --id 12345
Enumerate all processes with the names process1 and processs2
C:\> wanderer --name process1,process2
Enumerate the current process privilege level
C:\> wanderer --current
Enumerate all 32-bit processes
C:\wanderer --all --exclude-64
Enumerate all processes where is AMSI is loaded
C:\> wanderer --all --exclude-amsiunloaded
Enumerate all processes with the names pwsh,powershell,spotify and exclude instances where the integrity level is untrusted or low and exclude 32-bit processes
C:\> wanderer --name pwsh,powershell,spotify --exclude-integrity untrusted,low --exclude-32
