Обзор

WnfExec — это библиотека на C# (proof of concept), которая внедряет shellcode в процесс, перехватывая callback подписки WNF, а затем инициируя изменение состояния. Здесь нет ничего нового, она построена на основе исследований других людей. Моя цель состояла в том, чтобы закрепить концепцию в своей голове, задокументировать процесс и попутно выложить код.

Следите за мной в Twitter — скоро будет ещё несколько релизов инструментов! @ustayready

Требования

• .NET Framework 4.5
• x64 Shellcode
• x64 процесс, в который внедряется

Использование

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

Предыдущие работы/исследования

Как я упоминал в своём докладе вместе с Beau Bullock (@dafthack) на WWHF 2018, большая часть моих исследований WNF основана на том, что я стоял на плечах гигантов, пришедших до меня. Хотя список не является исчерпывающим, следующие предшествующие исследования и работы помогли мне усвоить основы, необходимые для интеграции таких техник в услуги red team, которые мы предлагаем в CrowdStrike.

Alex Ionescu и Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: Снимаем слои с самой недокументированной поверхности ядра
• Игры с Windows Notification Facility

Redplait Research

• Уведомители WNF
• Идентификаторы состояний WNF

Odzhan

• Внедрение процесса от Odzhan

Amit Klein и Itzik Kotler

• Blackhat 2019: Техники внедрения процессов — Поймай их всех

Примеры кода

• Мои постоянные полезные нагрузки .NET в WNF
• Внедрение WNF от Odzhan
• WindfarmDynamite от FuzzySec (очень полезный пример!)
• WNFun от Alex/Gabby
• Инструменты WNF от Tyranid для P0