Описание

Инструмент для генерации .NET-сериализованных гаджетов, которые могут инициировать загрузку/выполнение .NET-сборки при десериализации с помощью BinaryFormatter из JS/VBS/VBA-скриптов.
Текущий гаджет при десериализации с помощью BinaryFormatter из jscript/vbscript/vba инициирует вызов Activator.CreateInstance(); это означает, что его можно использовать для запуска выбранной вами .NET-сборки через конструктор по умолчанию/публичный конструктор.

Инструмент создавался в основном для автоматизации weaponization WSH-скриптов в рамках задач Red Team (первичный доступ, боковое перемещение, закрепление); загрузчик шеллкода, использовавшийся для PoC, удалён и заменён примером сборки, реализованной в проекте TestAssembly.

Детали:

Обходит AMSI без необходимости обновлять ключ реестра AmsiEnable или перехватывать loadlibrary (AMSI.dll).
Обходит новые средства контроля, введённые в .NET 4.8+, которые блокируют проверки типов "Assembly.Load" и ActivitySurrogateSelector.
Гаджет поддерживает корректную десериализацию полезных нагрузок для сред .NET Framework от 3.5 до 4.8+.
Зависит от ActivitySurrogateSelector для создания класса-суррогата (Surrogate), который выступает обёрткой для десериализации гаджета, сконструированного таким образом, чтобы вызвать "Activator.CreateInstance(Assembly.Load(your_assembly_bytes).GetType())".
Использует гаджет на основе TextFormattingRunProperties в качестве первого этапа десериализации для отключения проверки типов ActivitySurrogateSelector, тем самым обходя исправления, недавно введённые в .NET Framework 4.8+.
В основном не полагается на предоставление COM-объекта на основе .NET, поэтому нет необходимости вызывать d.DynamicInvoke(al.ToArray()).CreateInstance(entry_class).
Делегаты используются только для запуска выполнения полезной нагрузки во время десериализации (Func<Assembly, IEnumerable>) — это требование для корректного выстраивания элементов гаджета в цепочку.
Длина сериализованных гаджетов или потоков (Streams) вычисляется во время выполнения и автоматически подставляется в генерируемые WSH-скрипты (для VBA не требуется).
Генерирует VBS/VBA- и JS/HTA-скрипты, использующие активацию COM-компонентов на основе .NET без регистрации (registration-free).


`-w, --scriptType=js`	`Установите js, vbs, vba или hta`
`-a, --assembly=TestAssembly.dll`	`.NET-сборка, пример: -a C:\Users\userX\Desktop\shellcode_loader.dll/exe, либо можно указать C#-исходный файл с помощью параметра командной строки -c.`
`-c, --csfile=TestAssembly.cs`	`C#-исходный файл, пример: -c C:\Users\userX\Desktop\shellcode_loader.cs, убедитесь, что ваш код размещён в конструкторе по умолчанию вашего класса, и укажите все необходимые зависимости с помощью параметра командной строки -d.`
`-d, --references=Example.dll`	`Сборки ссылок, пример: -d System.Window- s.Forms.dll, System.dll`
`-b, --bypass`	`Обход средств контроля проверки типов, введённых в .NET версии 4.8+, по умолчанию установлено false; установите true (--bypass/-b), если WSH-скрипты генерируются для запуска в средах с .NET версии > 4.8+. Эту опцию следует использовать только с исполняемым файлом G2JS для .NET 4.x`
`-e, --encodeType=b64`	`Кодирование VBA-гаджетов: b64 или hex (по умолчанию установлено b64)`
`-o, --output=output`	`Выходной файл сгенерированной полезной нагрузки, пример: -o C:\Users\userX\Desktop\output (без расширения)`
`-r, --regfree`	`Активация COM-компонентов на основе .NET без регистрации (registration-free), применимо только к JS/HTA-скриптам.`
`-h, --help`	`Показать справку`

GadgetToJScript

Популярное

Использование и примечания:

Совет по OPSEC:

Авторы и ссылки

Отказ от ответственности