No-Consolation开发者指南：从编译到自定义BOF功能的完整路线图
No-Consolation开发者指南从编译到自定义BOF功能的完整路线图【免费下载链接】No-ConsolationA BOF that runs unmanaged PEs inline项目地址: https://gitcode.com/gh_mirrors/no/No-ConsolationNo-Consolation是一款强大的Beacon Object File (BOF)工具能够在内存中内联执行非托管PE文件EXE/DLL且无需分配控制台即不会生成conhost.exe进程。本指南将帮助开发者快速掌握从环境搭建到自定义功能开发的全流程轻松解锁内存中PE执行的高级技巧。一、认识No-ConsolationBOF工具的核心优势No-Consolation作为一款专注于内存中PE执行的BOF工具具备以下核心特性跨架构支持完美兼容32位和64位系统满足多样化的部署需求多类型PE支持同时支持EXE和DLL文件的内存加载与执行无进程创建直接在Beacon进程空间内执行避免新进程创建带来的检测风险PEB链接功能可将模块链接到PEB确保GetModuleHandle/GetProcAddress等API正常工作内存持久化自动加密并存储已执行的二进制文件避免重复传输异常处理64位系统下支持C异常处理提升复杂PE文件的执行稳定性这些特性使No-Consolation成为红队操作和内存中执行场景下的理想选择特别是在需要隐蔽执行和减少痕迹的场景中表现突出。二、环境搭建编译No-Consolation的快速步骤2.1 准备必要工具编译No-Consolation需要以下工具链mingw-w64交叉编译器x86_64和i686版本GNU Make构建工具2.2 获取源代码首先克隆项目仓库git clone https://gitcode.com/gh_mirrors/no/No-Consolation cd No-Consolation2.3 编译发布版本项目提供了简洁的Makefile构建系统执行以下命令编译发布版本make release该命令会自动使用x86_64-w64-mingw32-gcc编译64位版本输出到dist/NoConsolation.x64.o使用i686-w64-mingw32-gcc编译32位版本输出到dist/NoConsolation.x86.o对生成的目标文件进行strip处理减小体积2.4 编译调试版本如需进行开发调试可编译调试版本包含调试符号和额外输出make debug调试版本会添加-DDEBUG宏定义启用额外的调试信息输出。三、基础使用No-Consolation命令详解No-Consolation提供了丰富的命令行选项以下是常用功能的使用方法3.1 基本语法noconsolation [选项] /path/to/binary.exe [参数]3.2 核心选项说明选项简写说明--local-l从目标Windows机器加载二进制文件--link-to-peb-ltp将PE加载到PEB中--dont-unload-du不卸载DLL保持加载状态--timeout-t设置超时时间秒默认为600表示禁用--method-m指定DLL中要执行的导出函数名--list-pes-lpe列出所有已加载到内存的PE文件--unload-pe-upe从内存中卸载指定的PE文件3.3 实用示例执行本地PowerShell并获取语言模式beacon noconsolation --local C:\windows\system32\windowspowershell\v1.0\powershell.exe $ExecutionContext.SessionState.LanguageMode内存中执行mimikatzbeacon noconsolation /tmp/mimikatz.exe privilege::debug token::elevate exit列出已加载的PE文件beacon noconsolation --list-pes四、高级技巧内存中PE管理策略4.1 PE内存持久化机制No-Consolation会自动加密并在内存中存储首次执行的二进制文件后续执行无需重新传输只需指定文件名即可首次执行完整路径beacon noconsolation --local C:\windows\system32\cmd.exe /c ipconfig后续执行仅需文件名beacon noconsolation cmd.exe /c ipconfig4.2 PE内存管理命令列出内存中的PEnoconsolation --list-pes卸载内存中的PEnoconsolation --unload-pe mimikatz.exe临时执行不保存noconsolation --dont-save /path/to/binary.exe4.3 DLL加载高级技巧加载可疑DLL并链接到PEBbeacon noconsolation --dont-unload --link-to-peb --no-output --dont-save --local C:\path\to\suspicious.dll此命令会将DLL加载到内存链接到PEB使GetModuleHandle等API可正常工作执行DllMain函数不保存DLL到内存避免留下痕迹五、自定义开发扩展No-Consolation功能5.1 项目结构解析No-Consolation采用清晰的模块化结构头文件目录include/entry.h定义核心数据结构如_SAVED_PE、_LOADED_PE_INFO等loader.hPE加载相关结构体和函数声明beacon.hCobalt Strike Beacon相关定义源文件目录source/entry.c程序入口点包含BOF主逻辑loader.cPE加载和执行核心实现utils.c辅助功能函数5.2 添加自定义命令行选项要添加新的命令行选项需修改以下文件在source/entry.c中解析新选项在include/entry.h中添加相关结构体成员如需要存储状态更新README.md文档添加新选项说明5.3 扩展PE加载功能若需扩展PE加载功能如添加新的注入技术可修改source/loader.c中的LoadPE函数该函数负责PE文件的解析和内存加载。5.4 实现自定义输出处理输出处理逻辑位于source/output.c可在此文件中添加自定义的输出捕获和处理机制如加密输出或自定义格式。六、常见问题与解决方案6.1 编译错误找不到头文件确保mingw-w64编译器路径已添加到环境变量或在Makefile中指定完整路径。6.2 PE执行失败依赖项问题若目标PE有依赖DLLNo-Consolation会使用LoadLibrary加载可能触发检测。建议先加载依赖DLL再执行目标PE。6.3 内存不足PE文件过大No-Consolation对大型PE文件支持有限建议使用压缩或分段加载技术减小内存占用。七、总结与展望No-Consolation为开发者提供了一个强大而灵活的BOF框架用于在内存中安全高效地执行PE文件。通过本指南你已掌握从环境搭建、基础使用到高级定制的全流程知识。未来No-Consolation可能会添加更多高级特性如反调试保护、更强大的内存加密和多架构支持。欢迎通过项目贡献代码或提出改进建议共同完善这一强大工具。附录核心数据结构参考SAVED_PEinclude/entry.h中定义用于内存中存储PE文件信息LOADED_PE_INFOinclude/entry.h中定义跟踪已加载PE的状态IMAGE_RELOCinclude/loader.h中定义处理PE重定位信息【免费下载链接】No-ConsolationA BOF that runs unmanaged PEs inline项目地址: https://gitcode.com/gh_mirrors/no/No-Consolation创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考