DuplicateDump

DuplicateDump DuplicateDump는 MirrorDump의 포크로서 다음과 같은 수정 사항이 있습니다: DInovke 구현 LSASS 덤프 후 정리할 수 있는 C++로 작성된 LSA 플러그인 DLL. MirrorDump는 LSA 플러그인을 .NET 어셈블리로 컴파일하여 LSASS 프로세스에 의해 언로드되지 않습니다. 그래서 MirrorDump는 플러그인을 삭제하지 못했습니다. 덤프 프로세스즉, DuplicateDump의 PID가 명명된 파이프를 통해 LSA 플러그인에 공유됩니다. LSASS PID 대신 값 "0"...

Nim_DInvoke

Nim DInvoke Nim による D/Invoke 実装 すべての Nim バイナリは、通常同じ 58〜60 個の Windows API 関数を公開します: その他の Windows API 関数は、OffensiveNim または こちらのブログ記事 で述べられているように、通常は実行時に GetProcAddress と LoadLibraryA を介して解決されます。 したがって、Nim で DInvoke を使って API インポートを（完全に）隠すことはできません。ただし、誰かが例えばこの DInvoke 実装を利用して、Dynlib の代わりに DInvoke...

DInvoke

DInvoke Windows上でPInvokeに代わる動的置換手段。DInvokeには、ディスクまたはメモリからアンマネージコードを慎重かつ正確に動的呼び出しするための強力なプリミティブが含まれています。これは、PE解析、インテリジェントな動的API解決、実行時のPEプラグインの動的読み込み、プロセスインジェクション、APIフックの回避など、多くの目的に使用できます。 特徴: PInvokeを使わずにアンマネージAPIを動的呼び出し 戦略的なAPIフック回避を可能にするプリミティブ マネージコードからアンマネージPEモジュールを手動マッピング...

nimvoke

nimvoke 間接システムコール + DInvoke をシンプルに。 自身の Nim プロジェクトに直接インポートできるように設計された nimvoke は、マクロを使って間接システムコールと DInvoke スタイルのデリゲート宣言の詳細を抽象化します。このライブラリは、すぐに使えて比較的 op-sec フレンドリーになることを意図しています。マクロで使用される関数名とライブラリ名はコンパイル時にハッシュ化され、SSN と syscall 命令のアドレスはフックの有無にかかわらず取得されます。すべてのシステムコールは ntdll.dll 内の正しい syscall 命令を経由します。...

Fiber - Using Fibers To Run In-Memory Code In A Different And Stealthy Way

A fiber is a unit of execution that must be manually scheduled by the application rather than rely on the priority-based scheduling mechanism built into Windows. Fibers are often called lightweight threads. For more detailed information about what are and how fibers work consult the official...

DuplicateDump - Dumping LSASS With A Duplicated Handle From Custom LSA Plugin

DuplicateDump is a fork of MirrorDump with following modifications: DInovke implementation LSA plugin DLL written in C++ which could be clean up after dumping LSASS. MirrorDump compile LSA plugin as .NET assembly which would not be unloaded by LSASS process. That's why MirrorDump failed to delete...

DInjector - Collection Of Shellcode Injection Techniques Packed In A D/Invoke Weaponized DLL

This repository is an accumulation of my code snippets for various shellcode injection techniques using fantastic D/Invoke API by @TheWover and @FuzzySecurity. Features: Fully ported to D/Invoke API Encrypted payloads which can be invoked from a URL or passed in base64 as an argument Built-in AMS...

LOLBITS v2.0.0 - C2 Framework That Uses Background Intelligent Transfer Service (BITS) As Communication Protocol And Direct Syscalls + Dinvoke For EDR User-Mode Hooking Evasion

LOLBITS is a C2 framework that uses Microsoft's Background Intelligent Transfer Service BITS to establish the communication channel between the compromised host and the backend. The C2 backend is hidden behind an apparently harmless flask web application and it's only accesible when the HTTP...