COM Hunter

COM獵人

COM劫持VOODOO

COM-hunter 是一個用 C# 寫的 COM 劫持持久性工具。

該工具的靈感來自 @zeropointsecltd 的 RTO 課程

特徵

• 找出受害者機器中條目有效的 CLSID。
• 透過受害者電腦中的任務規劃程式找出有效的 CLSID。
• 找出是否有人已使用任何這些有效的 CLSID 來進行 COM 持久性 (LocalServer32/InprocServer32)。
• 找出是否有人已透過任務規劃程序使用任何有效的 CLSID 來進行 COM 持久性 (LocalServer32/InprocServer32)。
• 嘗試使用一般有效的 CLSID (LocalServer32/InprocServer32) 自動執行 COM 劫持持久性。
• 嘗試透過任務計劃程序自動執行 COM 劫持持久性。
• 嘗試使用“TreatAs”鍵來引用不同的元件。

特別感謝

• @dimtsikopoulos
• @0xvm

執照

版權所有 (c) 2022 Nikos Vourdas

下

.NET框架

4.8

用法

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

用法範例

• 取得條目（搜尋模式）：

   .COM-Hunter.exe Search Get-Entry
  

• 查找-持久（搜尋模式）：

   .COM-Hunter.exe Search Find-Persist
  

• 一般（持久模式）：

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch（持久模式）：

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

有效 CLSID 格式範例

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...