概述

WnfExec 是一个 C# 概念验证库，它通过劫持 WNF 订阅回调并触发状态更改，将 shellcode 注入到进程中。这里没有任何新意，它是基于他人的研究构建的。我的意图是在脑海中巩固这一概念，记录整个过程，并在此过程中提供我的代码。

在 Twitter 上关注我，很快会有更多工具发布！ @ustayready

要求

• .NET Framework 4.5
• x64 Shellcode
• 要注入的 x64 进程

用法

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

先前工作/研究

正如我在 WWHF 2018 上与 Beau Bullock（@dafthack）所做的演讲中提到的，我的大部分 WNF 研究都是因为我站在了前辈巨人的肩膀上。虽然这份清单并非详尽无遗，但以下先前的研究和工作帮助我掌握了将这些技术整合到我们在 CrowdStrike 提供的红队服务中所必需的基础知识。

Alex Ionescu 和 Gabrielle Viala

• Blackhat 2019：Windows 通知设施——层层剥开迄今最不为人知的内核攻击面
• 玩转 Windows 通知设施

Redplait Research

• WNF 通知器
• WNF 状态 ID

Odzhan

• Odzhan 的进程注入

Amit Klein 和 Itzik Kotler

• Blackhat 2019：进程注入技术——一个都不放过

代码示例

• 我在 WNF 中持久化 .NET Payloads
• Odzhan 的 WNF 注入
• FuzzySec 的 WindfarmDynamite（非常有帮助的示例！）
• Alex/Gabby 的 WNFun
• Tyranid 的 P0 WNF 工具