Aladdin：一款功能强大的.NET Payload反序列化和内存执行工具

Aladdin是一款功能强大的Payload生成工具，该工具使用了特定的绕过技术和.NET Remoting协议必要的Header字节。在该工具的帮助下，广大研究人员可以轻松对.NET程序执行反序列化，最终在内存中实现代码执行。

该工具可以使用“/guid:32a91b0f-30cd-4c75-be79-ccbd6345de99”和“/pid:”参数生成AddInProcess.exe进程，该进程将在“\.pipe32a91b0f-30cd-4c75-be79-ccbd6345de99”路径下开启一个命名管道，并等待一个.NET Remoting对象。如果我们生成的Payload拥有恰当的数据包字节并需要跟一个.NET Remoting监听器通信，那么我们就可以从System.Workflow.ComponentModel触发ActivitySurrogateSelector类，并在内存中实现代码执行。

当前版本的Aladdin提供了下列模版：

* HTA

* VBA

* JS

* CHM

由于该工具基于C#开发，因此我们首先需要在本地设备上安装并配置好Visual Studio。

git clone https://github.com/nettitude/Aladdin.git

需要注意的是，为了确保测试执行成功，.NET程序集必须包含一个单独的公共类，而这个类需要包含一个空的结构体作为反序列化操作的入口点。比如说：

public class EntryPoint {    public EntryPoint() {        MessageBox.Show("Hello");    }}

Usage:  -w, --scriptType=VALUE     设置为 js / hta / vba / chm  -o, --output=VALUE         生成的输出结果，例如：-o                               C:UsersNettitudeDesktoppayload  -a, --assembly=VALUE       提供汇编DLL，例如：-a                               C:UsersNettitudeDesktoppopcalc.dll  -h, --help                   查看工具帮助信息

1、用户提供的.NET源代码会在AddInProcess.exe下执行，并使用HTA / JS Payload生成进程。当前生成的进程会使用9BA05972-F6A8-11CF-A442-00A0C90A8F39 COM对象，它负责将进程以Explorer.exe进程的子进程形式启动；

2、启动Addinprocess.exe进程时传入的GUID是用户可以控制的，工具默认使用的GUID当前已硬编码在的模板和代码中；

3、CHM会通过XSLT转换执行JScript；

Addinprocess.exe会使用/guid和/pid启动，我们可以将其作为基线来在自己的网络环境中检测类似的活动。

本项目的开发与发布遵循BSD-3-Clause开源许可证协议。

Aladdin：

https://github.com/nettitude/Aladdin