CLR-Stomp

CLR-Stomp 是一个用于红队操作的 Beacon Object File（BOF），旨在通过 CLR 模块篡改技术将 .NET 程序集注入 Cobalt Strike Beacon 进程。其核心机制是诱使 CLR 加载真实 GAC 中的合法程序集，再在元数据解析前用恶意 PE 替换内存映射，使 ETW 等监控仅报告合法磁盘路径。项目基于自定义 IHostMemoryManager 实现内存劫持，并禁用 NGen 与强名称验证以保障执行稳定性。适用于需规避 .NET 相关检测（如 ETW、AMSI）的隐蔽横向移动与 payload 投递场景。