BlueSAM BOF

这是 BlueHammer 的 Cobalt Strike Beacon 对象文件改编版，试图通过 Windows Defender 更新/VSS 行为获取 SAM 数据库的副本，并处理来自 Beacon 的离线注册表数据。

致谢 Nightmare-Eclipse 的 BlueHammer (https://github.com/Nightmare-Eclipse/BlueHammer) 提供了原始 PoC。

开始

1. 使用 Git 克隆仓库
2. 运行 make

使用方法

1. 将 bluesam.cna 脚本导入 Cobalt Strike
2. 使用命令 bluesam

bluesam
Command         Description
(none)          Runs the BlueSAM BOF with the default target behavior.
any argument    Shows this help menu.

运行示例

致谢：

• https://github.com/Nightmare-Eclipse/BlueHammer
• https://github.com/MEhrn00/boflink
• https://github.com/trustedsec/CS-Situational-Awareness-BOF/tree/master/src/base_template
• https://github.com/CodeXTF2/bof_template