Inject-Assembly 使用教程

1. 项目介绍

Inject-Assembly 是一个用于在现有进程中执行 .NET 程序集的工具。它提供了一种替代传统 fork-and-run 执行方式的方法，特别适用于 Cobalt Strike。该工具的核心功能是将 .NET 程序集注入到任何进程中，包括当前的 Beacon 进程。注入的程序集可以长时间运行，并将输出发送回 Beacon，类似于 execute-assembly 的行为。

Inject-Assembly 主要由两个组件构成：

• BOF 初始化器：负责将程序集加载器注入到远程进程中，并传递任何参数。它使用 BeaconInjectProcess 进行注入，这意味着这种行为可以在 Malleable C2 配置文件中自定义，或者使用进程注入 BOFs（从版本 4.5 开始）。
• PIC 程序集加载器：项目的主要部分，负责初始化 .NET 运行时，加载提供的程序集并执行它。加载器会在目标进程中创建一个新的 AppDomain，以便在执行完成后完全卸载加载的程序集。

2. 项目快速启动

2.1 下载项目

首先，从 GitHub 仓库下载 Inject-Assembly 项目：

git clone https://github.com/kyleavery/inject-assembly.git
cd inject-assembly

2.2 加载 Aggressor 脚本

将 inject-assembly.cna Aggressor 脚本加载到 Cobalt Strike 中。你可以通过以下命令执行程序集：

inject-assembly pid assembly [args...]

其中：

• pid 是目标进程的 ID，指定 0 表示在当前 Beacon 进程中执行。
• assembly 是要执行的 .NET 程序集。
• args 是传递给程序集的参数。

2.3 示例代码

以下是一个简单的示例，展示如何在当前 Beacon 进程中执行一个 .NET 程序集：

inject-assembly 0 /path/to/your/assembly.exe arg1 arg2

3. 应用案例和最佳实践

3.1 调试辅助

Inject-Assembly 可以在不修改原始代码的情况下，在特定点添加断点，这对于调试非常有用。例如，你可以在关键代码路径中插入日志语句，以跟踪代码执行流程。

3.2 性能监控

通过动态插入日志语句，你可以监控代码的执行时间和资源消耗。这对于性能优化和瓶颈分析非常有帮助。

3.3 插件系统

Inject-Assembly 可以用于在已部署的应用程序中无侵入式地添加新功能。例如，你可以在现有应用程序中注入新的业务逻辑，而无需重新编译整个应用程序。

4. 典型生态项目

4.1 Donut

Donut 是一个用于生成位置无关代码（PIC）的工具，可以将 .NET 程序集转换为 shellcode。Inject-Assembly 可以与 Donut 结合使用，以实现更复杂的代码注入和执行。

4.2 ExecuteAssembly

ExecuteAssembly 是另一个用于在内存中执行 .NET 程序集的工具。它与 Inject-Assembly 类似，但提供了不同的实现方式和功能集。你可以根据具体需求选择合适的工具。

4.3 InlineExecute-Assembly

InlineExecute-Assembly 是一个用于在内存中执行 .NET 程序集的工具，它提供了更细粒度的控制和更高级的功能。你可以将它与 Inject-Assembly 结合使用，以实现更复杂的代码注入和执行。

通过这些生态项目的结合使用，你可以构建更强大和灵活的代码注入解决方案。