CobaltStrike非注入截屏BOF

Cobalt Strike的截屏，获取hash等功能都是靠反射型dll注入完成的，当我们使用screenshot功能时，都会注入到一个进程然后再执行截屏的相关代码，而进程注入是杀软监测的一个重点，比如360(开启核晶)，Windows Defender

目前绕过的主要方法有两个:

1.修改screenshot.dll，将其改为不注入执行，比较麻烦

2.自己用cs的api实现一个截屏的功能

这里为了方便选择用inline-execute功能自己实现。代码我参考单纯师傅的项目，进行了少量优化和更改。

1.无进程注入，所有操作发生在当前进程中，不能是控制台会话

2.将bmp转为jpg，大幅度减小截屏的大小

3.修复一个截屏时存在的一个长期痛点，即Windows全局缩放启动时，不能获取完整截图

4.修复两处内存泄露和vs2019 x86编译问题

5.添加了一个cna脚本方便使用

6.将去除调试信息的ps1文件又加了回来

获取的截屏，还是在原来查看的窗口查看

beacon> screenshot_plus
[*] Running screenshot without injection
...

项目地址：

https://github.com/baiyies/ScreenshotBOFPlus

加我微信好友，邀请你进交流群

文章号，欢迎关注

原文始发于微信公众号（刨洞之眼）：CobaltStrike非注入截屏BOF