EventViewerUAC_BOF

EventViewerUACBOF 이것은 @orange8361이 발견하고 CsEnox가 POC를 구성한 Event Viewer 역직렬화 UAC 우회의 Beacon Object File 구현입니다. x64 Win10/Win11에서 테스트됨 OPSEC 경고! 이 UAC 우회는 다음 작업을 수행하므로 OPSEC과 관련하여 고려해야 합니다: -1. %LOCALAPPDATA%\Microsoft\Event Viewer\RecentViews에 바이너리 파일을 씁니다. -2. ShellExecute를 호출하여 mmc.exe / Event...

rustbof

rustbof このプロジェクトは、完全な nostd サポートを備えた Rust を使用した BOF の開発を可能にします。Rust の安全性機能と最新のツールチェーンを活用しながら、小型で効率的な COFF オブジェクトを生成します。 このフレームワークは、BOF 開発に必要なすべてを提供します。ビルドプロセスではコードを静的ライブラリにコンパイルし、それを boflink が COFF オブジェクトにリンクして、Beacon の動的関数解決に適切なリロケーションとインポートを付与します。 必要条件 Rust nightly boflink cargo-make クイックスタート...

KDStab

KDStab 2022년 6월 28일 : Microsoft가 MsMpEng.exe 토큰에 대한 핸들 열기를 차단하는 패치를 배포하여, 이 도구의 KillDefender 부분이 더 이상 작동하지 않습니다. Backstab은 여전히 작동할 것입니다. 패치 ID는 확실하지 않으며, 구형 패치되지 않은 시스템에서는 작동할 수 있습니다. Win10 21H2 및 Win11에서 확인되었습니다. 이것은 Cobalt Strike와 함께 사용하기 위해 Yaxser의 Backstab과 pwn1sher의 KillDefender를 결합한 Beacon...

CodeCut

Ghidra用CodeCutプラグイン DeepCut / CodeCut GUI のための Ghidra プラグイン 動作原理 CodeCut を使用すると、Ghidra 内で関数をオブジェクトファイルに割り当て、オブジェクトファイルレベルでバイナリを操作できます。関数は、Ghidra データベースの Namespace フィールドを設定することでオブジェクトファイルに割り当てられます。DeepCut は初期のオブジェクトファイル境界を確立しようと試み、ユーザーは CodeCut テーブルウィンドウを使用してそれを調整できます。 これがなぜ有用か...

VeeamDumper-BOF

Veeam Dumper BOF Stephen Munro 氏と Logan Kroeger 氏（@MWRCyberSec）による、Veeam Backup and Replication および Veeam One 向けの資格情報抽出 BOF です。この BOF は、Veeam One または Veeam Backup and Replication サーバー上の Admin ビーコンで実行する必要があり、Cobalt Strike および Outflank C2 をサポートしています。 tldr; The BOF uses sqlcmd.exe/psql.exe to extrac...

injectAmsiBypass

Cobalt Strike BOF - AMSI 우회 주입 원격 프로세스에서 코드 주입을 통해 AMSI를 우회하는 Cobalt Strike 비콘 오브젝트 파일BOF입니다. CobaltStrike에서 inject-amsiBypass BOF 실행 이 기능은 무엇을 하나요? 1. 제공된 PID 인수를 사용하여 원격 프로세스에 대한 핸들을 얻습니다 hProc = KERNEL32$OpenProcessPROCESSVMOPERATION | PROCESSVMWRITE, FALSE, DWORDpid; 2. AMSI.DLL을 비콘 메모리에 로드하고...

ASPX_WebShell_COFFLoader

COFF 로더를 사용한 ASPX 웹 셸 TrustedSec의 CSCOFFLoader를 기반으로 함 설명 이 ASPX 웹 셸은 반-대화형 Python 클라이언트를 사용하여 대상 서버에서 Beacon Object Files BOFs 를 실행할 수 있게 합니다. TrustedSec의 CSCOFFLoader에서 파생된 COFF 로더 구현을 활용합니다. 이 프로젝트는 보안 연구 및 승인된 침투 테스트용 으로만 제공됩니다. 이 프로젝트를 사용함으로써 귀하는 모든 관련 법률 및 규정을 준수하는 데 동의합니다. 사전 요구 사항 사용 전에 다...

teams-cookies-bof

teams-cookies-bof ms-teams.exe 프로세스 내에서 실행되는 동안 Teams의 쿠키를 탈취합니다. 관련 게시글: https://tierzerosecurity.co.nz/2025/11/03/teams-cookies-bof.html 기반: https://blog.randorisec.fr/ms-teams-access-tokens/. 이 도구는 Cookie-Monster-BOF를 기반으로 합니다. BOF는 암호화 키를 추출하고, 쿠키 파일에 대한 핸들을 가진 msedgewebview2.exe 프로세스를 찾아 핸들을...

toastnotify-bof

toastnotify-bof Windows 토스트 알림을 전송하기 위한 Beacon Object File BOF입니다. 전체 컨텍스트와 사용 사례는 블로그 게시물과 함께 제공됩니다. 하위 명령어 getaumid 시스템에 등록된 AUMID애플리케이션 사용자 모델 ID를 열거합니다. 토스트를 보내기 전에 빌릴 적절한 ID를 찾는 데 사용합니다. inline-execute toastnotify.o go getaumid 출력 예시: Notifications\Settings - HKCU Microsoft.Windows.Explorer...

BOF_ExecuteAssembly

BOF Execute-Assembly Cobalt Strike용 Beacon Object File로, 회피 기법을 사용하여 비콘에서 .NET 어셈블리를 실행합니다. 개요 핵심 아키텍처 ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │...

COM-Hunter

COM-Hunter COM 하이재킹 VOODOO 설명 COM-Hunter는 COM 하이재킹 지속성 도구입니다. .NET 버전과 Cobalt Strike와 완벽히 호환되는 BOF 변형으로 제공됩니다. 다음 목록은 사용 가능한 모드를 설명합니다: 검색 모드 : HKLM 및 HKCU의 LocalServer32, InprocServer32 및 레지스트리 항목을 기반으로 CLSID를 검색합니다. 클래식 지속 모드 : LocalServer32 또는 InprocServer32를 사용하여 클래식 COM 하이재킹 지속성을 수행합니다. 작업...

Kerbeus-BOF

Kerbeus-BOF Kerberos 남용을 위한 Beacon Object Files입니다. 이는 Rubeus 프로젝트의 중요한 기능 중 일부를 C로 구현한 것입니다. 이 프로젝트는 C2 프레임워크인 Cobalt Strike, Havoc, AdaptixC2 및 Outflank C2와의 통합을 지원합니다. 티켓 요청 및 갱신 asktgt asktgt 액션은 지정된 사용자와 암호화 키/rc4 또는 /aes256를 사용하여 원시 AS-REQTGT 요청 트래픽을 구성합니다. 해시 대신 /password 플래그를 사용할 수도 있습니다....

async-pico-hub

Async PICO HUB Async PICOs は、Cobalt Strike Beacon プロセス内で長時間稼働するイベント駆動型の Beacon Object Files（BOF）を実行するためのフレームワークです。Crystal Palace の PICO と Beacon 側の実行モデルを組み合わせることで、非同期実行、タスク追跡、グレースフルシャットダウン、安全な非同期出力を提供します。 Cobalt Strike のネイティブな非同期 BOF とは異なり、Async PICOs は Beacon のプロセス内で実行され、イベント発生時に Beacon...

KslKatzBof

KslKatzBOF C2에서 KslD.sys BYOVD 기술을 사용하여 LSASS 자격 증명을 인라인으로 추출하는 Beacon Object File BOF입니다. 이 프로젝트는 다음 블로그 게시물을 기반으로 합니다: https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team 출처 이 BOF는 KslKatzMaximilian Barz를 기반으로 하며, 이는 다시 두 가지 기반 프로젝트를 바탕으로 합니다: KslDump –...

mssqlbof

mssqlbof 마이크로소프트 SQL Server를 위한 Beacon Object File 제품군으로, 자체적으로 TDS 7.4를 C로 구현하여 네트워크 통신을 수행합니다. msodbcsql.dll, sqloledb.dll, .NET CLR, PowerShell이 필요 없습니다. 아키텍처당 하나의 COFF 파일이 로드되며, 표준 Beacon API를 준수하는 모든 비콘에서 실행됩니다. 배경 SQL Server는 거의 모든 엔지니어링 작업에서 등장합니다. 주로 사용되는 도구는 SQLRecon / PowerUpSQL CLR +...

cookie-monster

Cookie-Monster-BOF BOF를 통해 Edge, Chrome, Firefox의 브라우저 쿠키를 탈취하세요! Cookie Monster BOF는 Edge와 Chrome의 WebKit Master Key와 App Bound Encryption Key를 추출하고, Cookies 및 Login Data 파일에 대한 핸들을 가진 브라우저 프로세스를 찾은 다음, 해당 핸들을 복사하고 대상 파일을 파일리스fileless 방식으로 다운로드합니다. Cookies/Login Data 파일이 다운로드되면, 파이썬 복호화 스크립트를 사용...

Adrenaline

Adrenaline BOF Kit C2 에이전시에 종속되지 않는 Beacon Object FilesBOF 모음으로, 레드팀 및 공격적 보안 운영을 위해 설계되었습니다. BOF는 공격 체인 단계별로 구성되어 있으며, 정찰, 정보 수집, 사후 침투 작업 흐름에서 사용할 수 있도록 작고 모듈화되어 있으며 자동화에 적합합니다. 목차 MITRE 분류 Collection Community Credential Access Discovery Execution Collection BOF| 용도 ---|--- aisurface| Windows...

Koh

Koh Koh는 의도적인 토큰/로그온 세션 유출을 통해 사용자 자격 증명 자료를 캡처할 수 있는 C 및 BOFBeacon Object File 도구 모음입니다. 일부 코드는 Elad Shamir의 Internal-Monologue 프로젝트라이선스 없음와 KB180548에서 영감을 받았습니다. 이것이 가능한 이유와 Koh의 접근 방식에 대해서는 이 README의 기술적 배경 섹션을 참조하세요. Koh의 동기와 접근 방식에 대한 더 자세한 설명은 Koh: The Token Stealer 게시물을 참조하세요. @harmj0y가 이 ...

dumpguard_bof

DumpGuard BOF 최신 Windows 시스템에서 세션으로부터 NTLMv1 해시를 추출하는 DumpGuard의 Beacon Object File BOF 포트입니다. 이 프로젝트에 대하여 이 저장소는 원래 C/.NET 구현에서 순수 C로 포팅된 DumpGuard의 Beacon Object File BOF 구현을 포함하며, Havoc 및 BOF 실행을 지원하는 다른 C2 프레임워크에서 사용할 수 있습니다. 이는 개념 증명PoC이자 학습 연습입니다. 이 BOF 포트는 원격 자격 증명 가드Remote Credential Guar...

CobaltStrike-BOF

CobaltStrike BOF Beacon BOF 컬렉션. 1 DCOM 수평 이동 Beacon 객체 파일을 통해 DCOMShellWindows을 사용하여 수평 이동을 수행하는 빠른 PoC입니다. 자격 증명을 지정하거나 현재 사용자를 사용할 수 있습니다. 현재 사용자를 사용하려면 도메인, 사용자 이름 및 암호를 비워 두세요. C에서 COM 개체를 사용하는 방법에 대한 짧은 문서는 여기에서 찾을 수 있습니다. 2 WMI 수평 이동 - Win32Process Create 이전과 유사한 개념이지만 흥미로운 학습 경험입니다. 코드는 C...