COM Hunter

COM猎人

COM劫持VOODOO

COM-hunter 是一个用 C# 编写的 COM 劫持持久性工具。

该工具的灵感来自 @zeropointsecltd 的 RTO 课程

特征

• 找出受害者机器中条目有效的 CLSID。
• 通过受害者计算机中的任务计划程序找出有效的 CLSID。
• 查明是否有人已使用任何这些有效的 CLSID 来进行 COM 持久性 (LocalServer32/InprocServer32)。
• 查明是否有人已通过任务计划程序使用任何有效的 CLSID 来进行 COM 持久性 (LocalServer32/InprocServer32)。
• 尝试使用一般有效的 CLSID (LocalServer32/InprocServer32) 自动执行 COM 劫持持久性。
• 尝试通过任务计划程序自动执行 COM 劫持持久性。
• 尝试使用“TreatAs”键来引用不同的组件。

特别感谢

• @dimtsikopoulos
• @0xvm

执照

版权所有 (c) 2022 Nikos Vourdas

下

.NET框架

4.8

用法

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

用法示例

• 获取条目（搜索模式）：

   .COM-Hunter.exe Search Get-Entry
  

• 查找-持久（搜索模式）：

   .COM-Hunter.exe Search Find-Persist
  

• 一般（持久模式）：

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch（持久模式）：

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

有效 CLSID 格式示例

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...