.Net Profiling API分为.Net Framework和.Net Core两个版本，Framework中大部分的API都适用于.Net Core。主要的API接口有两个：
- ICorProfilerCallback: 定义了所有分析事件的回调接口，例如方法调用、垃圾回收等。
- ICorProfilerInfo: 提供了查询和控制被分析应用程序的信息，例如获取模块信息、设置分析标志等。
第一种方式是通过设置环境变量实现的，适用于.Net Core和.Net Framework 如下所示。
CORECLR_ENABLE_PROFILING为1，代表允许分析器加载到.Net进程
CORECLR_PROFILER 分析器dll将检查传递的CLSID是否正确
CORECLR_PROFILER_PATH 代表分析器dll的路径
setx CORECLR_ENABLE_PROFILING=1setx CORECLR_PROFILER={805A308B-061C-47F3-9B30-F785C3186E71}setx CORECLR_PROFILER_PATH=C:DotNextMoscow2019-masterDebugDotNext.Profiler.Windows.dll
第二种方式，用到了ICLRProfiling::AttachProfile 接口。.Net FrameWork的主要步骤如下：
- 获取ICLRMetaHost
- 枚举加载到目标进程中的 CLR
- 获取目标进程中特定 CLR 的 ICLRRuntimeInfo
- 获取ICLRProfiling接口
- 调用 ICLRProfiling::AttachProfiler 方法，附加成功
可以看到，整个流程前三步和Execute-Assembly技术实现的前三步完全一致
.Net Core则提供了相应库Microsoft.Diagnostics.NETCore.Client，相关代码如下。
using Microsoft.Diagnostics.NETCore.Client;class profiler_injector{static void Main(string[] args){int pid = Int32.Parse(args[0]);string profilerPath = args[1];DiagnosticsClient dia = new DiagnosticsClient(pid);Guid guid = new Guid("{805A308B-061C-47F3-9B30-F785C3186E71}");dia.AttachProfiler(TimeSpan.FromSeconds(30),guid, path );}}
谈完注入方式后，咱们来谈一下分析器Dll本身。分析器dll的工作原理大致如下图所示：
2. CoreCLR然后调用DllGetClassobject导出函数，该函数通常判断CLSID的正确性，然后返回IClassFactory接口实例对象指针。
3. CoreCLR然后调用IClassFactory::CreateInstance方法，获取ICorCallback接口实例对象指针。
4. CoreCLR调用ICorCallback::Initialize方法，传入指向自己的指针，profiler会保存下来，然后调用SetEventMask通知coreclr 收集什么类的信息。
详细代码见参考链接3，建议观看 Pavel Yosifovich 的演讲视频"Writing a .NET Core cross platform profiler in an hour"
上文提到，当3个环境变量被设置时，任意.Net进程启动会自动加载环境变量指定路径下的Dll，这意味着可以用来做持久化。需要注意的是，Dll不一定要是分析器Dll，普通的Dll也会被加载，即DllMain函数会被执行，可以把恶意代码放在DllMain中。
研究员Daniel Mayer在WMI bof项目的基础上，添加了设置环境变量的功能，并将分析器Dll的路径设置为远程UNC路径，但由于使用了WMI，会有双跳（Double Hop）问题，因此失败。然而，他又发现了一种新方式，即分析器Dll可以从远程WebDAV服务器加载，从而实现了横向移动。
.Net Profiling API是一组功能较为强大的接口，本文主要介绍了该技术在红队横向移动和持久化中的使用。由于该组接口的参考文档不多，且使用较为复杂，因此相关研究较少，但该组接口有着不少强大的功能，比如运行时修改.Net程序中的某个方法、挂钩.Net程序的指定方法等，这些技术有待进一步研究。
[2] https://github.com/dotnet/coreclr/blob/master/Documentation/Profiling/davbr-blog-archive/Attach.md
[3] https://github.com/zodiacon/DotNextMoscow2019
[4] https://www.youtube.com/watch?v=TqS4OEWn6hQ
[5] https://posts.specterops.io/lateral-movement-with-the-net-profiler-8772c86f9523
原文始发于微信公众号（M01N Team）：浅谈.Net Profiling在红队中的使用
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论