GeolocationBOF

一款 Cobalt Strike BOF，尝试在不进行 fork & run 的情况下检索 Windows 地理位置坐标。它首先使用 WinRT Geolocator API，如果失败则回退到旧版 ILocation API。

实现

简单的 BOF，使用 WinRT 地理定位并回退到旧版 ILocation。它将翻转以下注册表项：

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• 仅管理员：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• 仅管理员：HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• 仅管理员：HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• 仅管理员：HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

以管理员身份执行时，还会临时将 lfsvc 服务的启动类型改为按需启动，并尝试启动该服务。

所有更改在执行后都会恢复。

自编译

1. git clone 仓库
2. 运行 make

使用

1. 将 GeoLocationBOF.cna 脚本导入 Cobalt Strike
2. 使用命令 geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

注意事项

• 目标上必须启用 Windows 定位服务。
• 位置隐私设置、策略、传感器和提供程序可用性可能会阻止获取结果。
• 需要管理员上下文才能启用位置权限（如果尚未授予）。
• 临时注册表更改用于授予位置权限，并在 BOF 退出前恢复。
• 未执行规避操作——请自行应用 OPSEC。

为什么制作这个？

此 BOF 旨在提供一种直接在进程中请求 Windows 地理位置数据的方法。

致谢

• https://github.com/MEhrn00/boflink

免责声明

常规免责声明在此，本人不对您使用此段糟糕代码可能造成的任何反人类罪行或核战争负责。