dicerosbicornis

DicerosBicornis 一个基于Python的隐蔽Windows后门，使用电子邮件作为命令与控制服务器。 需求 Python 2.x PyCrypto module WMI module Enum34 module Netifaces module pypiwin32 module 特性 加密传输消息 AES + SHA256 哈希 使用系统信息/特征生成计算机唯一ID SHA256哈希 任务ID是随机的SHA256哈希 获取系统信息 获取地理位置信息（城市、国家、纬度、经度等） 获取运行进程/系统服务/系统用户/设备（硬件） 获取客户端列表 执行系统命令 从客户端下载文件...

phpsploit

完全な機能を備えたC2フレームワーク。ポリモーフィックなPHPワンライナーにより、 Webサーバー上に静かに永続化します...

Malicious code in tailwindcss-contact-forms (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector cc68c81374c5b78e36fea2f599c5e0004ead6e56dfd02b40cec4f73c62193b30 The package presents itself as a Tailwind CSS forms plugin README, repository field, and installation docs are copied verbatim from @tailwindcss/form...

MAL-2026-16124 Malicious code in tailwindcss-contact-forms (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector cc68c81374c5b78e36fea2f599c5e0004ead6e56dfd02b40cec4f73c62193b30 The package presents itself as a Tailwind CSS forms plugin README, repository field, and installation docs are copied verbatim from @tailwindcss/form...

DNS-Persist

DNS-Persist DNS-Persist 是一个使用 DNS 进行命令与控制（C2）的后渗透代理。服务端代码使用 Python 编写，代理则使用 C++ 编写。这是第一个版本，未来会添加更多功能并持续改进。 快速开始 作者 0x09AL - https://twitter.com/0x09al 免责声明 请勿将本软件用于非法用途。 作者不对任何滥用此处代码的行为承担任何责任。 我是在重复造轮子吗？ 关于 DNS C2 已有大量优秀的工作成果，但我创建这个软件是为了更专注于持久化部分。我不是 C++ 专家，这是我用 C++ 编写的第一个"真正的程序"（所以可能会看到一些令人尴尬的代码...

zeek-caldera-detector

zeek-caldera-detector zeek-caldera-detector 是一个基于 Zeek 的软件包，用于检测 Caldera 信标（beacons）和代理下载。它旨在识别与 Caldera C2 框架相关的可疑活动，包括 Sandcat、Ragdoll 和 Manx。 该软件包提供了强大的机制，用于监控 HTTP 流量、检测信标模式以及根据预定义指标识别可疑的文件下载。 功能 Caldera C2 检测 ： 基于独特的 URI 路径和 User-Agent 字符串检测 HTTP 信标（Sandcat、Ragdoll 和 Manx）。 使用 Zeek 签名识别基于 TC...

stratum-c2

Cloud Persistence Framework · v3.0.2 A fallback foothold that routes through infrastructure defenders can't block. The problem Your primary C2 goes silent. The domain gets blacklisted. The beacon gets flagged. The EDR kills the process. You're out. You need a second channel — one that was never...

flask_pythonanywhere_redirector

flaskpythonanywhereredirector flask pythonanywhere C2 重定向器模板 设置 1. 前往：https://www.pythonanywhere.com/ 2. Web 标签页 - 添加新的 Web 应用 - Flask - Python2.7 - 下一步.. 3. 向下滚动到代码 - 转到目录 - Flaskapp.py 4. 将 app.py 中的代码复制粘贴到文件中 - 保存（右上角） 5. Web 标签页 - 重新加载按钮 6. 浏览到重定向器！...

cnc-relay

cnc-relay 在红队演练中，通常会搭建中继（relay）基础设施，将对外暴露的足迹与实际命令与控制（C2）后端分离开来。一些常见的轻量级方案是在临时云基础设施上部署 HAProxy 或 NGINX，并将流量代理到内部和/或受保护的主机，操作员可在此主机上访问命令与控制框架。尽管这种设置大多时候有效，但信标（beacon）的原始源 IP 等元数据会丢失。 本仓库包含两个 Docker 环境，允许你搭建一个带中继的示例命令与控制环境，同时仍能保留信标的原始源...

Dropper-GCleaner-C2-Infrastructure-Kernel-Driver-PowerShell-Conhost-Payload-Analysis

1. C2 基础设施 – 弹性与冗余服务器 Process Hacker 内存分析揭示了一组由 Dropper GCleaner 用于 C2 通信的域名列表。这些域名托管在多种平台上（Scaleway、Render、Replit 等），表明其基础设施健壮且冗余。 关键观察： 托管平台： Scaleway scw.cloud、Render onrender.com、Replit repl.co 等。 域名： readthedocs.io、rhcloud.com、app.render.com、id.repl.co、resindevice.io 等。 用途：...

PNGboomer-CVE-2026-77622

PNGboomer — CVE-2026-77622 针对 Sliver C2 的 HTTPS 监听器的拒绝服务攻击利用工具。通过暴力破解每个会话的 PNG 编码随机数，并投递一个解压炸弹来耗尽服务器内存。 已发布为 GHSA-663m-7x7m-g4fw。 概述 Sliver 的 HTTPS C2 通道将消息封装在 PNG 图像中。每个会话被分配一个范围在 1, 65537 内的随机随机数，服务器仅解码那些 ?n= 查询参数与会话随机数匹配的请求中的 PNG 数据。这是一种路由机制，而非身份验证检查——密钥空间仅为 16 位。 服务器使用 Go 的 image.Decode 解码...

C2-and-Post-Exploitation-Framework

Capstone Docker 实验室 概述与目的 受害者浏览托管网页。利用过程通过嵌入在 utils.js 中的 shellcode 发起（在受害者浏览器客户端运行，利用 CVE-2021-21220）。shellcode 在受害者机器上运行，调用 HTTPS 交付服务器，下载 MicrosoftEdgeUpdate.exe 并执行。一旦运行，植入程序通过中间跳板（C2 重定向器）使用 TLS 连接 C2 服务器以获取签名证书，然后通过完整的双向 TLS 重新连接。C2 控制器接收连接并呈现交互式反向 Shell 菜单，允许操作员在受害者机器上远程执行 Windows 命令。 威胁模型...

CVE-2026-29781

Sliver C2 服务器中的架构性漏洞允许进行反向 C2 武器化。通过从捕获的植入体中提取凭据，防御者可以将 C2 关系武器化，以触发远程基础设施 Kill-Switch。此利用针对的是 Protobuf 处理器中系统性缺乏 nil 指针验证的问题，导致全局运行时崩溃。 CVE-2026-29781 的影响是 C2 基础设施的全面运营瘫痪。 1. 猎人反成猎物：捕获植入体二进制的防御者可以逆转攻击，并完全关闭 Sliver 服务器。 2. 跨传输层崩溃：由于 mTLS、WireGuard 和 DNS 传输层缺乏 recover 机制，单个畸形数据包会导致整个 Go...

zeek-quasarrat-detector

基于 Zeek 的 QuasarRAT 恶意软件检测器 恶意软件通常通过 HTTPS 隐藏与命令和控制（C2）服务器的通信。 HTTPS 中的加密通常会掩盖攻击足够长的时间，使恶意软件能够 实现其目标。这使得检测使用 HTTPS 的恶意软件具有挑战性，但偶尔 你会遇到一个突破口，就像这里的 QuasarRAT 案例。QuasarRAT 是一种 Windows 远程 访问工具，在过去一年中一直被用来针对管理美国 关键基础设施的组织。 示例 Notice.log 输出 root@kitploit: separator \x09 setseparator , emptyfield empty...

GOXLR-malware-family

This repo initially was my analysis and report for malware found at goxlr.net. Recently I uncovered they ALSO ran several other malware domains with varying malware variants, so far all stealers, and they are all a clone of "goxlr". So I am now reverse engineering every sample I can find from all...

CVE-2026-33634-Scanner

CVE-2026-33634-Scanner 扫描器，用于自动检测与 TeamPCP 供应链攻击（CVE-2026-33634）相关的入侵指标（IOC） 📋 目录 概述 漏洞 功能特性 检测到的 IOC 安装 使用方法 示例 报告格式 项目结构 系统要求 贡献 许可证 作者 参考资料 🎯 概述 CVE-2026-33634-Scanner 是一款安全工具，旨在检测与 TeamPCP 供应链攻击相关的入侵指标（IOC），该攻击是一个影响通过受感染渠道分发的多个软件组件的严重漏洞。 该工具执行全面扫描，查找以下内容： 通过 SHA256 哈希识别的恶意文件 与命令与控制（C2）基础设施的网络...

RevShell

🔥 RevShell Project — Advanced Windows Reverse Shell root@kitploit: ██▀███ ▓█████ ██▒ █▓ ██████ ██░ ██ ▓█████ ██▓ ██▓ ▓██ ▒ ██▒▓█ ▀ ▓██░ █▒ ▒██ ▒ ▓██░ ██▒ ▓█ ▀ ▓██▒ ▓██▒ ▓██ ░▄█ ▒▒███ ▓██ █▒░ ░ ▓██▄ ▒██▀▀██░ ▒███ ▒██░ ▒██░ ▒██▀▀█▄ ▒▓█ ▄ ▒██ █░░ ▒ ██▒░▓█ ░██ ▒▓█ ▄ ▒██░ ▒██░ ░██▓ ▒██▒░▒████▒ ▒▀█░...

Starkiller v4.0.3

Starkiller Starkiller is a Frontend for Powershell Empire. It is a web application written in VueJS. If you'd like to contribute please follow the Contribution guide. If you'd like to request a feature or report a bug, please follow the Issue template. Getting Started As of Empire 5.0 and...

Aether-C2-Framework

🌌 Aether-C2-Framework - 用于网络安全培训的强大工具 Download Aether-C2-Framework 🚀 快速入门 欢迎使用 Aether-C2-Framework！本指南将帮助您轻松下载并运行该框架，即使您不是技术专家也能轻松上手。 🛠️ 系统要求 在下载 Aether-C2-Framework 之前，请确保您的系统满足以下要求： 操作系统 ：Windows 10 或更高版本、macOS 或现代 Linux 发行版。 内存 ：至少 4 GB RAM。 存储空间 ：至少 500 MB 可用空间。 Python 版本 ：Python 3.7 或更高版本。...

Wireshark

Wireshark恶意软件分析 描述 在本实验中，我分析了一个已知的、针对Log4J漏洞的恶意数据包捕获。我按照自己用于数据包捕获分析的相同剧本开始调查，即检查统计信息，查看有多少端点以及它们之间的通信量。注意到IP地址数量庞大后，我想在地图上标注这些地址，因此安装并配置了Max Mind的GEOIP数据库，该数据库将IP地址解析到其所在的国家和城市。如此大量的IP地址表明可能来自针对Log4J漏洞的僵尸网络攻击或其他恶意扫描。由于捕获中的流量使用HTTP而非HTTPS（加密），我能够通过过滤"jndi"（Java命名与目录接口）明文识别出该漏洞。该过滤器的第一个数据包是一个HTTP...