Cobalt Strike
的截屏,获取hash
等功能都是靠反射型dll
注入完成的,当我们使用screenshot
功能时,都会注入到一个进程然后再执行截屏的相关代码,而进程注入是杀软监测的一个重点,比如360
(开启核晶),Windows Defender
目前绕过的主要方法有两个:
1.修改screenshot.dll
,将其改为不注入执行,比较麻烦
2.自己用cs
的api
实现一个截屏的功能
这里为了方便选择用inline-execute
功能自己实现。代码我参考单纯师傅的项目,进行了少量优化和更改。
1.无进程注入,所有操作发生在当前进程中,不能是控制台会话
2.将bmp
转为jpg
,大幅度减小截屏的大小
3.修复一个截屏时存在的一个长期痛点,即Windows
全局缩放启动时,不能获取完整截图
4.修复两处内存泄露和vs2019 x86
编译问题
5.添加了一个cna
脚本方便使用
6.将去除调试信息的ps1
文件又加了回来
获取的截屏,还是在原来查看的窗口查看
beacon> screenshot_plus
[*] Running screenshot without injection
...
如:36杀毒
成功截图
项目地址:
https://github.com/baiyies/ScreenshotBOFPlus
原文始发于微信公众号(黑客街安全团队):CobaltStrike非注入截屏BOF--过av
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论