CobaltStrike非注入截屏BOF插件

2023年7月12日14:14:53评论224 views字数 619阅读2分3秒阅读模式

前言

Cobalt Strike的截屏、获取hash等功能都是靠反射型dll注入完成的，当我们使用screenshot功能时都会注入到一个进程后再执行截屏的相关代码，而进程注入是杀软监测的一个重点，比如360(开启核晶)，Windows Defender等。

目前绕过的主要方法有两个:

这里为了方便选择用inline-execute功能自己实现，代码我参考单纯师傅的项目，进行了少量优化和更改。

特点

使用效果

将ScreenshotBOFPlus.cna脚本导入Cobalt Strike，执行screenshot_plus命令，获取的截屏还是在原来的窗口查看。

CobaltStrike非注入截屏BOF插件

获取工具

https://github.com/baiyies/ScreenshotBOFPlus

原文始发于微信公众号（白帽学子）：CobaltStrike非注入截屏BOF插件

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。