BypassUserAdd

Subscription

通过反射DLL注入、Win API、C#、以及底层实现NetUserAdd方式实现BypassAV进行增加用户的功能,实现Cobalt Strike插件化

结合cna使用,直接load cna然后选对应的UserAdd方式即可

暂时先只支持x64

部分代码参考idiotc4t师傅,非常感谢师傅的分享主要实现了四种方式：

1. 通过编写反射DLL实现API(NetUserAdd)添加用户
1. 通过编写反射DLL实现重新实现NetUserAdd底层封装（主要是利用MS-SAMR）进行用户添加
1. 通过微软提供C#利用活动目录创建用户方式,实现内存调用(execute-assembly) 参考:https://docs.microsoft.com/zh-cn/troubleshoot/dotnet/csharp/add-user-local-system
1. 通过上传重写NetUserAdd底层实现添加用户的可执行程序实现添加用户

使用过程中第2和4种方式设置的用户默认是未启用状态,AV一般不会监控账户启用而会监控账户禁用,因此还需要net user 对应的账户名称 /active:yes

Name		Name	Last commit message	Last commit date
Latest commit History 14 Commits
ReflectiveDll		ReflectiveDll
cna		cna
.gitattributes		.gitattributes
.gitignore		.gitignore
README.md		README.md
ReflectiveDll.sln		ReflectiveDll.sln
image.png		image.png
image1.png		image1.png