CobaltStrike非注入截屏BOF过av

admin 2024年9月29日08:55:50评论28 views字数 594阅读1分58秒阅读模式
前言

Cobalt Strike的截屏,获取hash等功能都是靠反射型dll注入完成的,当我们使用screenshot功能时,都会注入到一个进程然后再执行截屏的相关代码,而进程注入是杀软监测的一个重点,比如360(开启核晶),Windows Defender

目前绕过的主要方法有两个:

1.修改screenshot.dll,将其改为不注入执行,比较麻烦

2.自己用csapi实现一个截屏的功能

这里为了方便选择用inline-execute功能自己实现。代码我参考单纯师傅的项目,进行了少量优化和更改。

特点

1.无进程注入,所有操作发生在当前进程中,不能是控制台会话

2.将bmp转为jpg,大幅度减小截屏的大小

3.修复一个截屏时存在的一个长期痛点,即Windows全局缩放启动时,不能获取完整截图

4.修复两处内存泄露和vs2019 x86编译问题

5.添加了一个cna脚本方便使用

6.将去除调试信息的ps1文件又加了回来

使用效果

获取的截屏,还是在原来查看的窗口查看

beacon> screenshot_plus
[*] Running screenshot without injection
...

如:36杀毒

CobaltStrike非注入截屏BOF过av

成功截图

CobaltStrike非注入截屏BOF过av

项目地址:

https://github.com/baiyies/ScreenshotBOFPlus

原文始发于微信公众号(黑客街安全团队):CobaltStrike非注入截屏BOF--过av

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年9月29日08:55:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   CobaltStrike非注入截屏BOF过avhttps://cn-sec.com/archives/1975094.html

发表评论

匿名网友 填写信息