DSCourier_BOF

DSCourier BOF 这是 Dylan Davis 和 Matthew Schramm 的 DSCourier 项目的 BOF 实现。它使用 WinGet 的 COM 接口在微软签名且受信任的进程中执行任意 PowerShell 代码。他们的完整研究博客可以在这里找到。 与我发布的大多数项目不同，这并非一个可直接投入使用的工具，而更像是一个概念验证（POC）。在发现了若干阻碍其成为可部署 BOF 的问题后，我决定不再进一步推进。代码几乎完全由 AI 生成（clanked）。仍有多个问题尚未解决，将在下文讨论。 用法 将你的任意 PowerShell 代码放入 dist/rev.ym...

BlueSAM

BlueSAM BOF 这是 BlueHammer 的 Cobalt Strike Beacon 对象文件改编版，试图通过 Windows Defender 更新/VSS 行为获取 SAM 数据库的副本，并处理来自 Beacon 的离线注册表数据。 致谢 Nightmare-Eclipse 的 BlueHammer https://github.com/Nightmare-Eclipse/BlueHammer 提供了原始 PoC。 开始 1. 使用 Git 克隆仓库 2. 运行 make 使用方法 1. 将 bluesam.cna 脚本导入 Cobalt Strike 2. 使用命令...

NiCOFF

NiCOFF Básicamente, NiCOFF es un cargador de archivos COFF y BOF escrito en Nim. NiCOFF lee un archivo BOF o COFF, lo analiza y lo ejecuta en la memoria. Todo el proyecto está basado en los proyectos COFF Loader de Yasser y Kevin. Tanto el cargador como las funciones beacon de estos proyectos...

cleanldap

CleanLdap 用于通过 AD WS 执行隐蔽 LDAP 查询的 BOF 参数 直接切入正题，以下是参数及其含义： root@kitploit: Z: DC Hostname "dc01.example.com" Z: LDAP query "objectClass=" Z: Comma separated list of LDAP attributes "samaccountname,distinguishedName,cn" - if empty, collect all Z: Base DN "DC=example,DC=com" - if empty parse from...

BRC4-BOF-Artillery

Generic Este repositorio incluye una colección de BOFs genéricos que escribí durante un período de tiempo. Este repositorio se centra únicamente en el portado y la ejecución, sin modificar el código fuente original para mantener la estabilidad. Aunque es posible que realice más pruebas en el...

Remote-BOF-Runner

远程BOF运行器 一个Havoc扩展框架，用于通过使用Crystal Palace制作的PIC加载器远程执行Beacon对象文件（BOF）。 概述 远程BOF运行器通过利用Crystal Palace PIC加载器，能够在任意进程中安全执行BOF。该框架通过命名管道实现复杂的进程间通信（IPC）机制，将注入进程中的Beacon输出透明地转发回命令与控制（C2）服务器。 设置与安装 扩展安装 确保扩展安装在Havoc扩展目录中： root@kitploit: 你的HAVOC文件夹 + /data/extensions/ 依赖项 要编译PIC加载器，系统上必须安装以下工具和库：...

PSI_BOF

ProcessInspect BOF 一个可用于检查进程内存、地址和符号的CS BOF！ 命令概览 命令| 描述 ---|--- lm| 列出所有已加载的模块及其基址、入口点等信息 addr| 打印指定内存地址处的字节 meminfo| 打印指定内存地址的相关信息 lt| 打印当前进程中所有活动线程及相关基本信息 regdump| 打印线程寄存器的内容 请提交补丁！欢迎推荐更多命令！ BOF 命令 lm lm 命令列出当前进程中已加载的模块。当不带参数调用时，返回所有已加载的 DLL；当给定一个 DLL 名称时，返回该模块的详细信息（基址、入口点、大小、完整路径）。 语法...

BOF_RunPe

BOFRunPE BOF RunPE 是一个用于 Cobalt Strike 的 Beacon 对象文件，可在 beacon 进程内完全在内存中执行 PE 文件。与传统的 fork&run 不同，不会生成子进程，不会创建控制台，也不会使用管道 ——所有输出均通过 IAT 挂钩捕获并重定向到 beacon 控制台。 架构： 仅 x64 概述 root@kitploit: ┌──────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Current Process │...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

Cobaltstrike_BOFLoader

CobaltstrikeBOFLoader 这是 Cobalt Strike BOF 加载器的开源移植/重新实现，按原样提供 。绝大多数实现方式与 Cobalt Strike 中原生的 Beacon + Teamserver 相同。 这包括其他开源 COFF 加载器（如 TrustedSec COFFLoader）中已修复的缺陷。这是有意为之。本项目的目标并非制作一个 优秀 的 COFF 加载器，而是创建一个与 Cobalt Strike 中特定实现的开源对应版本，以帮助调试那些 BOF 在其他 COFF 加载器中正常工作、但在 Cobalt Strike 中失败的边界情况。 用法：...

Adrenaline

Kit Adrenaline BOF Una colección de Beacon Object Files BOFs independiente de C2 para operaciones de red team y seguridad ofensiva. Los BOFs están organizados por fase de cadena de ataque y diseñados para ser pequeños, modulares y fáciles de automatizar para su uso en flujos de trabajo de...

CVE-2024-26229-BOF

CVE-2024-26229 Beacon Object Files 来自 NVISO 的 CVE-2024-26229 Beacon Object File BOF 实现，适用于 Cobalt Strike 和 BruteRatel。 编译方法： root@kitploit: gcc -c CVE-2024-26229-bof.c -o CVE-2024-26229-bof.o 此漏洞已于 2024 年 4 月 9 日修复。详情请参阅 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26229。...

DropSpawn_BOF

DropSpawn 介绍 DropSpawn 是一款 CobaltStrike BOF，用于通过一种相对不为人知的 DLL 劫持方法来衍生额外的 Beacon。支持 x86-x86、x64-x64 以及 x86-x64/反向架构。可用作进程注入的替代方案。 Windows 可执行文件在尝试加载未指定绝对路径的 DLL 时，会遵循 DLL 搜索顺序： DLL 劫持通常需要满足以下条件之一： A. 用户在某个文件夹中拥有写入权限，且该文件夹的搜索顺序优先级高于真实 DLL 所在的文件夹 或 B. 目标 DLL 在系统中完全不存在，此时可以将它放置在用户 %PATH% 变量中可写入的文件夹内（...

HiddenDesktop

Hidden Desktop BOF Hidden Desktop（通常称为HVNC）是一种允许操作员在用户不知情的情况下与远程桌面会话交互的工具。它不涉及VNC协议，但结果提供类似的体验。此Cobalt Strike BOF实现是作为用C++编写的TinyNuke/分支的替代方案而创建的。 Hidden Desktop包含四个组件： 1. BOF初始化器：负责将HVNC代码注入到Beacon进程中的小程序。 2. HVNC shellcode：TinyNuke HVNC的PIC实现。 3. 服务器和操作员UI：监听HVNC...

nanorobeus

Nanorobeus Archivo COFF BOF para administrar tickets de Kerberos. Agentes compatibles Sliver Brute Ratel Cobalt Strike Comandos luid - obtener el ID de inicio de sesión actual sessions /luid: | /all - obtener sesiones de inicio de sesión klist /luid: | /all - listar tickets de Kerberos dump...

CVE-2023-36874_BOF

CVE-2023-36874 Windows 错误报告 LPE BOF 介绍 这是一个成熟且可运行的 CobaltStrike BOF 实现，基于 Filip Dragovic（@filipdragovic）的 CVE-2023-36874 Windows 错误报告 LPE 利用程序。他通过逆向相关的有漏洞的 DLL 并创建了该漏洞关键的非公开 COM 结构，在创建可用利用程序方面做了大量艰苦工作。 此 BOF 会将用户指定的 EXE 文件放置到目标机器的磁盘上，然后触发漏洞，导致该 EXE 以 SYSTEM 权限运行。 微软感谢谷歌威胁分析组披露此漏洞，然而我最初是通过...

CVE-2024-35250-BOF

CVE-2024-35250-BOF Implementación del Beacon Object File BOF para CVE-2024-35250, para Cobalt Strike. Compilado con Visual Studio. Agradecimientos Todo el mérito del código de la vulnerabilidad es del autor original varwara. Descargo de responsabilidad No me hago responsable de ningún crimen cont...

bofhound

本仓库已不再活跃 ⛔🚧 本仓库已不再维护。若要提交问题、拉取请求或获取最新版本，请参阅 https://github.com/coffeegist/bofhound 🚧⛔ root@kitploit: | / / / | /| | | | / \ | | | | | \ | | | \ | | | | | | | | | | || | | | | | | | | | | | | | .--. | | | | | | | | | | | | | | | | | | | . | | | | | | | | | --' | | | | | | | | --' | | --' | | |\ | ...

NyxInvoke

NyxInvoke NyxInvoke 是一个基于 Rust 的多功能工具，旨在执行 .NET 程序集、PowerShell 命令/脚本、Beacon 对象文件（BOF）和 PE 文件，并内置 Ntdll 取消挂钩（Unhooking）、无补丁 AMSI 和 ETW 绕过功能。它可以编译为独立可执行文件或 DLL。 功能特性 执行 .NET 程序集 运行 PowerShell 命令或脚本 加载并执行 Beacon 对象文件（BOF） 加载并执行 PE 文件（EXE） 内置无补丁 AMSI（反恶意软件扫描接口）绕过 内置无补丁 ETW（Windows 事件跟踪）绕过 内置 NTDLL...

C2-Tool-Collection

Outflank - C2工具集 本仓库包含一系列通过BOF和反射式DLL加载技术与Cobalt Strike（以及其他可能的C2框架）集成的工具。 这些工具不属于我们的商业OST产品，编写它们的目的是回馈我们所感激的社区。目前该仓库包含一个BOF（信标对象文件）工具部分和一个其他工具部分（漏洞利用、反射式DLL等）。 所有这些工具均由我们的团队成员编写，并在红队任务中使用。随着时间的推移，我们将添加更多工具或使用新技术/功能修改现有工具。 工具集内容 该工具集目前包含以下工具： 信标对象文件 BOF 名称| 描述 ---|--- AddMachineAccount| 滥用默认的Acti...