Data Inject BOF

一个 beacon 对象文件实现，基于我博客文章 通过数据指针进行控制流劫持 中的进程注入概念验证。

通过覆盖 combase.dll 中由 COM 代理函数调用的控制流保护函数指针来劫持控制流。

重要说明

• 根据我的测试，explorer.exe 目前是触发机制最简单的最佳候选进程，因为它高度依赖 COM 代理。建议进行试验。
• 确保 shellcode 是 64 位的，因为这个 BOF 仅支持 64 位的 beacon 和目标进程。
• 仅在 Windows 版本 Win10 21H2 (19044.5737) 和 Win11 24H2 (26100.3775) 上测试过。

用法

datainject <pid> <shellcode path>

示例

为举例起见，所有进程 ID 均假定为 1234

注入到 explorer.exe，在 COM 调用时执行 shellcode（可通过右键单击或打开文件资源管理器触发）

datainject 1234 C:\users\attacker\payloads\beacon_x64.bin

参考

• 通过数据指针进行控制流劫持 - 我的博客文章，介绍将此方法武器化的方法论。
• Threadless Inject - 启发我开始这项研究的项目。