dllspy

DllSpy コンパイル済みの.NETアセンブリをスキャンし、入力サーフェス（HTTPエンドポイント、SignalRハブ、WCFサービス、gRPCサービス、Razor Pages、Blazorコンポーネント、Azure Functions、ODataエンドポイント）を検出し、認証設定を確認、セキュリティ問題をフラグ付けします。すべてアプリケーションを実行せずに行います。 CLIツール および PowerShellモジュール として利用可能です。 インストール CLI root@kitploit: dotnet tool install -g DllSpy PowerShell...

reconerator

概要 これは、様々な状況認識アクティビティを実行するカスタム .NET アセンブリです。現在、以下の機能セットがあります: BASIC - ディスクとレジストリから情報を取得します。 LDAP - カスタマイズされたAD LDAPクエリを実行できます。 RESOLVEHOST - DNSルックアップクエリを実行します。 INDEXSEARCH - Windows インデックスサービスでローカルファイルと電子メール（ファイル名と内容）を検索します。 PROXYCHECK - 指定されたURLにアクセスする際に使用されるプロキシサーバーを表示します。...

reconerator

Overview This is a custom .NET assembly which will perform a number of situational awareness activities. There are a number of current featuresets: BASIC - Obtains information from the disk and registry. LDAP - Allows customised AD LDAP queries to be made. RESOLVEHOST - Performs DNS lookup querie...

aether

Aether 版本：0.9（稳定版） Aether 是一款 Windows 内存取证和威胁狩猎工具，可扫描活动进程内存中的恶意模式、检测注入技术、植入签名及反射加载的 .NET 程序集。它采用多层置信度模型，大幅降低误报率，并主动搜寻恶意行为。Aether 在检测进程镂空（Hollowing）、APC、线程劫持等技术方面具有良好的能力。安全分析师可使用它进行扫描、狩猎，并快照可疑区域以进行离线分析。 文档：https://0xsp.com/docs/aether-getting-started/ 研究文章：...

DNCI

DNCI - .NETコードインジェクター DNCIは、Windowsのアンマネージプロセスにリモートで.NETコード（.exeまたは.dll）をインジェクションすることができます。 1. プロジェクト構造 プロジェクトは以下のように構成されています。 DNCI.Injector.Library - インジェクションライブラリ。すべてのインジェクションコンポーネントとロジックを含みます。 DNCI.Injector.Runner - インジェクション用のコマンドラインユーティリティ。 DNCIClrLoader - .NETアセンブリをメモリにロードするためのC++マイクロコード。...

link

link link is a command and control framework written in rust. Currently in beta. Table of Contents Introduction Features Feedback Build Process Acknowledgments Introduction...

VMUnprotect.Dumper

VMUnprotect.Dumper VMUnprotect.Dumper 是一个致力于查找被篡改的 VMProtect 程序集 的项目。它利用 AsmResolver 来动态解包 VMP 保护的程序集。适用于 VMProtect 3.7.0（最新版）及之前的几个版本。 使用 VMUnprotect.Dumper 之前 使用 VMUnprotect.Dumper 之后 使用方法 root@kitploit: VMUnprotect.Dumper.exe example.vmp.exe...

ExecuteAssembly

説明: ExecuteAssemblyはCSのexecute-assemblyの代替であり、C/C++で構築されています。ホスト（spawnto）プロセスに読み込まれたCLRモジュール/AppDomainManagerの再利用、ローダー/.NETアセンブリのPE DOSヘッダーの隠蔽、.NET関連モジュールのリンク解除、ETW+AMSIのバイパス、NT静的システムコール（x64）によるEDRフックの回避、superfasthashハッシュアルゴリズムを使用したAPIの動的解決によるインポートの隠蔽により、.NETアセンブリを読み込み/インジェクションするために使用できます。...

LACheck

LACheck 多线程 C .NET 程序集 本地管理权限枚举 参数 root@kitploit: ./LACheck.exe help | | /\ / | | | | | | / \ | | | | | | | | / /\ \ | | | ' \ / / | |/ / | | / \ | || | | | / | |// \ || |||||\ Usage: LACheck.exe smb rpc /targets:hostname,fqdn.domain.tld,10.10.10.10 /ldap:all /ou:"OU=Special...

InlineExecute-Assembly

InlineExecute-Assembly InlineExecute-Assembly 是一个概念验证的信标对象文件 BOF，允许安全专业人员以进程内 .NET 程序集执行的方式，替代 Cobalt Strike 传统的 fork-and-run execute-assembly 模块。InlineExecute-Assembly 将执行任何入口点为 Mainstring args 或 Main 的程序集。这应允许您运行大多数已发布的工具，而无需事先进行任何修改。 BOF 会自动确定执行程序集前需加载到进程中的公共语言运行时 CLR 版本（v2.0.50727 或...

inject-assembly

inject-assembly - 既存プロセス内で.NETを実行 このツールは、Cobalt Strikeの従来のfork and run実行に代わるものです。ローダーは、現在のBeaconを含む任意のプロセスに注入できます。長時間実行されるアセンブリは、実行を継続し、execute-assemblyと同様の動作で出力をBeaconに送り返します。 inject-assemblyには2つのコンポーネントがあります： 1. BOF initializer :...

vba2clr

摘要: 只是尝试使用 AppDomain.ExecuteAssembly 或其他任何方便的方法，在绕过 VBA 中的 AccessVBOM（对 Visual Basic 项目的编程访问不受信任）之后，以本地和远程方式在 VBA 中加载 CLR（.NET）程序集。 vba2clr..vba: 将 AccessVBOM 注册表项设置为 1 实例化一个 Word.Application COM 对象（可以是 Excel.Application、MS PowerPoint、Access 等）。 从字符串添加宏（宏对应于 b64/hex 编码的 ExecuteAssembly.vba） 使用...

Invoke-noPac

Invoke-noPac The .Net assembly is based on my fork https://github.com/ricardojba/noPac that has a few code changes to improve upon the original. PowerSharpPack style .Net Assembly loader for the CVE-2021-42287 - CVE-2021-42278 Scanner & Exploit noPac. Usage: root@kitploit: Set-PSReadlineOption...

EUVD-2016-6200

Malware in sbrugna...

Aladdin - Payload Generation Technique That Allows The Deseriallization Of A .NET Payload And Execution In Memory

Aladdin is a payload generation technique based on the work of James Forshaw @tiraniddo that allows the deseriallization of a .NET payload and execution in memory. The original vector was documented on https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html. By spawning the...

InlineExecute-Assembly - A PoC Beacon Object File (BOF) That Allows Security Professionals To Perform In Process .NET Assembly Execution

InlineExecute-Assembly is a proof of concept Beacon Object File BOF that allows security professionals to perform in process .NET assembly execution as an alternative to Cobalt Strikes traditional fork and run execute-assembly module. InlineExecute-Assembly will execute any assembly with the entr...

Telerik UI ASP.NET AJAX RadAsyncUpload Deserialization Exploit

This Metasploit module exploits the .NET deserialization vulnerability within the RadAsyncUpload RAU component of Telerik UI ASP.NET AJAX that is identified as CVE-2019-18935. In order to do so the module must upload a mixed mode .NET assembly DLL which is then loaded through the deserialization...

WebSocket C2 Communication Channel: WSC2

WSC2 is a PoC of using the WebSockets and a browser process to serve as a C2 communication channel between an agent, running on the target system, and a controller acting as the actuel C2 server. WSC2 is composed of: a controller, written in Python, which acts as the C2 server an agent running on...

VirtualBox 5.0.32 r112930 x64 - Windows Process COM Injection Privilege Escalation Exploit

Exploit for windows platform in category local exploits Source: https://bugs.chromium.org/p/project-zero/issues/detail?id=1103 VirtualBox: Windows Process COM Injection EoP Platform: VirtualBox v5.0.32 r112930 x64 Tested on Windows 10 Class: Elevation of Privilege Summary: The process hardening...

CVE-2016-5249

Lenovo Solution Center LSC before 3.3.003 allows local users to execute arbitrary code with LocalSystem privileges via vectors involving the LSC.Services.SystemService StartProxy command with a named pipe created in advance and crafted .NET assembly...