.NET 通过执行XOML文件代码绕过安全防护

WFC.exe是一款工具，用于执行嵌入在XOML中的.NET代码。由于该程序自带微软的数字签名，它能够绕过杀毒软件的监控，执行潜在的恶意代码。该技术利用了XOML的合法性以及系统中对白名单程序的高度信任，使得恶意代码的执行更加隐蔽，难以被检测和阻止

0x01 WFC是什么

WFC.exe 是 .NET Framework 工具套件的一部分，用于编译 Windows Workflow Foundation (WF) 来构建支持工作流程的应用程序，具体来说，WFC.exe 通过将工作流程文件（通常是 .XOML 文件）编译成可执行的.NET程序集。通常可以在cmd命令提示符中执行以下命令：

wfc.exe MyWorkflow.xoml /out:MyWorkflow.dll

此命令将 MyWorkflow.xoml 文件编译成一个名为 MyWorkflow.dll 的程序集。

通常在安装了 Windows SDK 的系统上，可以在以下目录中找到这个可执行文件：

C:\Program Files (x86)\Microsoft SDKs\Windows\v10.0A\bin\NETFX 4.8 Tools\wfc.exe

0x02 WF工作流是什么

WF（Windows Workflow Foundation&#