link

link link is a command and control framework written in rust. Currently in beta. Table of Contents Introduction Features Feedback Build Process Acknowledgments Introduction link provides MacOS, Linux and Windows implants which may lack the necessary evasive tradecraft provided by other more matur...

InlineExecute-Assembly

InlineExecute-Assembly InlineExecute-Assembly는 보안 전문가가 Cobalt Strike의 기존 fork and run execute-assembly 모듈 대신 프로세스 내 .NET 어셈블리 실행을 수행할 수 있도록 하는 개념 증명 Beacon Object FileBOF입니다. InlineExecute-Assembly는 진입점이 Mainstring args 또는 Main인 모든 어셈블리를 실행합니다. 이를 통해 사전 수정 없이 대부분의 공개된 도구를 실행할 수 있습니다. BOF는 실행 전에...

aether

Aether version : 0.9 안정 버전 Aether 는 라이브 프로세스 메모리에서 악성 패턴을 스캔하고, 인젝션 기법, 임플란트 시그니처, 리플렉티브 로드된 .NET 어셈블리를 탐지하는 Windows 메모리 포렌식 및 위협 헌팅 도구입니다. 다중 계층 신뢰도 모델multi-layer confidence model을 사용하여 오탐false positive률을 크게 줄이고 악성 행위를 탐지합니다. Aether는 할로잉Hollowing, APC, 스레드 하이재킹 기법 탐지에 뛰어난 역량을 갖추고 있습니다. 보안 분석가는 이...

inject-assembly

inject-assembly - 기존 프로세스에서 .NET 실행 이 도구는 Cobalt Strike의 전통적인 fork and run 실행 방식에 대한 대안입니다. 로더는 현재 Beacon을 포함한 모든 프로세스에 주입될 수 있습니다. 오래 실행되는 어셈블리는 계속 실행되며, execute-assembly의 동작과 유사하게 출력을 Beacon으로 다시 보냅니다. inject-assembly는 두 가지 구성 요소로 이루어져 있습니다: 1. BOF initializer : 인수와 함께 원격 프로세스에 어셈블리 로더를 주입하는 소형...

DNCI

DNCI - Dot Net Code Injector DNCI allows the injection of .Net code .exe or .dll remotely in unmanaged processes in windows. 1. Project Structure The project is structured in: DNCI.Injector.Library - Injection library. Contains all injection components and logic; DNCI.Injector.Runner - Command...

reconerator

개요 이것은 다양한 상황 인식 활동을 수행하는 사용자 지정 .NET 어셈블리입니다. 현재 여러 기능 세트가 있습니다: BASIC - 디스크와 레지스트리에서 정보를 수집합니다. LDAP - 사용자 지정 AD LDAP 쿼리를 수행할 수 있습니다. RESOLVEHOST - DNS 조회 쿼리를 수행합니다. INDEXSEARCH - Windows 인덱싱 서비스에서 로컬 파일과 이메일파일명 및 내용을 검색합니다. PROXYCHECK - 제공된 URL에 접근할 때 사용될 프록시 서버를 표시합니다. 이 도구를 작성할 당시 GhostPack이...

reconerator

Overview This is a custom .NET assembly which will perform a number of situational awareness activities. There are a number of current featuresets: BASIC - Obtains information from the disk and registry. LDAP - Allows customised AD LDAP queries to be made. RESOLVEHOST - Performs DNS lookup querie...

LACheck

LACheck 멀티스레드 C .NET Assembly 로컬 관리 권한 열거 인수 ./LACheck.exe help | | /\ / | | | | | | / \ | | | | | | | | / /\ \ | | | ' \ / / | |/ / | | / \ | || | | | / | |// \ || |||||\ Usage: LACheck.exe smb rpc /targets:hostname,fqdn.domain.tld,10.10.10.10 /ldap:all /ou:"OU=Special...

dllspy

DllSpy 컴파일된 .NET 어셈블리를 스캔하여 입력 표면HTTP 엔드포인트, SignalR 허브, WCF 서비스, gRPC 서비스, Razor Pages, Blazor 컴포넌트, Azure Functions, OData 엔드포인트을 발견하고, 인증 구성을 확인하며, 보안 문제를 플래그합니다. 애플리케이션을 실행하지 않고 수행합니다. CLI 도구 와 PowerShell 모듈 로 사용 가능합니다. 설치 CLI dotnet tool install -g DllSpy PowerShell Install-Module -Name DllS...

ExecuteAssembly

설명: ExecuteAssembly는 CS execute-assembly의 대안으로, C/C++로 제작되었으며 .NET 어셈블리를 로드/인젝션할 수 있습니다. 호스트spawnto 프로세스에 로드된 CLR 모듈/AppDomainManager를 재사용하고, 로더/.NET 어셈블리 PE DOS 헤더를 스톰핑stomping하며, .NET 관련 모듈을 언링크unlink하고, ETW+AMSI를 우회하며, NT 정적 시스템 콜x64을 통해 EDR 후크를 회피하고, superfasthash 해싱 알고리즘으로 API를 동적 해석하여 임포트를...

vba2clr

TLDR: VBA에서 AccessVBOMVisual Basic 프로젝트에 대한 프로그래밍 방식 액세스가 신뢰되지 않음을 우회한 후 AppDomain.ExecuteAssembly 또는 기타 편리한 방법을 사용하여 CLR.NET 어셈블리를 VBA에 로컬 및 원격으로 로드하는 다양한 방법을 실험하고 있습니다. vba2clr..vba: AccessVBOM 레지스트리 키를 1로 설정합니다. Word.Application COM 개체를 인스턴스화합니다. Excel.Application, MS PowerPoint, Access 등이 될 수...

Invoke-noPac

Invoke-noPac 이 .Net 어셈블리는 제 포크 https://github.com/ricardojba/noPac 를 기반으로 하며, 원본을 개선하기 위해 몇 가지 코드 변경 사항이 있습니다. PowerSharpPack 스타일의 .Net Assembly 로더로, CVE-2021-42287 - CVE-2021-42278 스캐너 및 익스플로잇 noPac을 위한 것입니다. 사용법: Set-PSReadlineOption -HistorySaveStyle SaveNothing...

VMUnprotect.Dumper

VMUnprotect.Dumper VMUnprotect.Dumper 는 변조된 VMProtect 어셈블리 를 찾는 프로젝트입니다. AsmResolver를 사용하여 VMP 로 보호된 어셈블리를 동적으로 언패킹합니다. VMProtect 3.7.0 최신 및 몇 가지 이전 버전에서 작동합니다. VMUnprotect.Dumper 사용 전 VMUnprotect.Dumper 사용 후 사용법 VMUnprotect.Dumper.exe example.vmp.exe 대상 앱이 다른 프레임워크를 사용하는 경우, 아마 작동하지 않을 것입니다. 필요에...

EUVD-2016-6200

Malware in sbrugna...

Aladdin - Payload Generation Technique That Allows The Deseriallization Of A .NET Payload And Execution In Memory

Aladdin is a payload generation technique based on the work of James Forshaw @tiraniddo that allows the deseriallization of a .NET payload and execution in memory. The original vector was documented on https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html. By spawning the...

InlineExecute-Assembly - A PoC Beacon Object File (BOF) That Allows Security Professionals To Perform In Process .NET Assembly Execution

InlineExecute-Assembly is a proof of concept Beacon Object File BOF that allows security professionals to perform in process .NET assembly execution as an alternative to Cobalt Strikes traditional fork and run execute-assembly module. InlineExecute-Assembly will execute any assembly with the entr...

Telerik UI ASP.NET AJAX RadAsyncUpload Deserialization Exploit

This Metasploit module exploits the .NET deserialization vulnerability within the RadAsyncUpload RAU component of Telerik UI ASP.NET AJAX that is identified as CVE-2019-18935. In order to do so the module must upload a mixed mode .NET assembly DLL which is then loaded through the deserialization...

WebSocket C2 Communication Channel: WSC2

WSC2 is a PoC of using the WebSockets and a browser process to serve as a C2 communication channel between an agent, running on the target system, and a controller acting as the actuel C2 server. WSC2 is composed of: a controller, written in Python, which acts as the C2 server an agent running on...

VirtualBox 5.0.32 r112930 x64 - Windows Process COM Injection Privilege Escalation Exploit

Exploit for windows platform in category local exploits Source: https://bugs.chromium.org/p/project-zero/issues/detail?id=1103 VirtualBox: Windows Process COM Injection EoP Platform: VirtualBox v5.0.32 r112930 x64 Tested on Windows 10 Class: Elevation of Privilege Summary: The process hardening...

CVE-2016-5249

Lenovo Solution Center LSC before 3.3.003 allows local users to execute arbitrary code with LocalSystem privileges via vectors involving the LSC.Services.SystemService StartProxy command with a named pipe created in advance and crafted .NET assembly...