DuplicateDump

DuplicateDump DuplicateDump는 MirrorDump의 포크로서 다음과 같은 수정 사항이 있습니다: DInovke 구현 LSASS 덤프 후 정리할 수 있는 C++로 작성된 LSA 플러그인 DLL. MirrorDump는 LSA 플러그인을 .NET 어셈블리로 컴파일하여 LSASS 프로세스에 의해 언로드되지 않습니다. 그래서 MirrorDump는 플러그인을 삭제하지 못했습니다. 덤프 프로세스즉, DuplicateDump의 PID가 명명된 파이프를 통해 LSA 플러그인에 공유됩니다. LSASS PID 대신 값 "0"...

Nim_DInvoke

Nim DInvoke Nim에서의 D/Invoke 구현 모든 Nim 바이너리는 일반적으로 동일한 58-60개의 Windows API 함수를 노출합니다: 다른 모든 Windows API 함수는 일반적으로 OffensiveNim 또는 이 블로그 게시물에서 언급된 것처럼 런타임에 GetProcAddress와 LoadLibraryA를 통해 해석됩니다. 따라서 누군가가 예를 들어 이 DInvoke 구현을 사용하여 Dynlib 대신 DInvoke를 사용하도록 Nim 컴파일러를 수정하지 않는 한, Nim에서 DInvoke를 통해 API...

DInvoke

DInvoke Windows에서 PInvoke를 대체하는 동적 라이브러리입니다. DInvoke는 강력한 프리미티브를 포함하며, 이를 지능적으로 결합하여 디스크 또는 메모리에서 비관리 코드를 정밀하게 동적으로 호출할 수 있습니다. PE 파싱, 지능적인 동적 API 해석, 런타임 시 PE 플러그인 동적 로드, 프로세스 인젝션, API 후크 회피 등 다양한 목적으로 사용될 수 있습니다. 기능: PInvoke 없이 비관리 API 동적 호출 전략적 API 후크 회피를 가능하게 하는 프리미티브 관리 코드에서 비관리 PE 모듈 수동 매핑...

nimvoke

nimvoke 간접 syscall + DInvoke를 간단하게 만듭니다. 자체 Nim 프로젝트에 직접 임포트하도록 설계된 nimvoke는 간접 시스템 콜 및 DInvoke 스타일 델리게이트 선언을 추상화하기 위해 매크로를 사용합니다. 이 라이브러리는 사용하기 쉽고 기본적으로 비교적 op-sec 친화적인 것을 목표로 합니다. 매크로에 사용된 함수 및 라이브러리 이름은 컴파일 타임에 해시되며, SSN과 syscall 명령 주소는 훅 여부와 관계없이 검색됩니다. 모든 syscall은 ntdll.dll의 올바른 syscall 명령을 ...

Fiber - Using Fibers To Run In-Memory Code In A Different And Stealthy Way

A fiber is a unit of execution that must be manually scheduled by the application rather than rely on the priority-based scheduling mechanism built into Windows. Fibers are often called lightweight threads. For more detailed information about what are and how fibers work consult the official...

DuplicateDump - Dumping LSASS With A Duplicated Handle From Custom LSA Plugin

DuplicateDump is a fork of MirrorDump with following modifications: DInovke implementation LSA plugin DLL written in C++ which could be clean up after dumping LSASS. MirrorDump compile LSA plugin as .NET assembly which would not be unloaded by LSASS process. That's why MirrorDump failed to delete...

DInjector - Collection Of Shellcode Injection Techniques Packed In A D/Invoke Weaponized DLL

This repository is an accumulation of my code snippets for various shellcode injection techniques using fantastic D/Invoke API by @TheWover and @FuzzySecurity. Features: Fully ported to D/Invoke API Encrypted payloads which can be invoked from a URL or passed in base64 as an argument Built-in AMS...

LOLBITS v2.0.0 - C2 Framework That Uses Background Intelligent Transfer Service (BITS) As Communication Protocol And Direct Syscalls + Dinvoke For EDR User-Mode Hooking Evasion

LOLBITS is a C2 framework that uses Microsoft's Background Intelligent Transfer Service BITS to establish the communication channel between the compromised host and the backend. The C2 backend is hidden behind an apparently harmless flask web application and it's only accesible when the HTTP...