ProcessInjection

ProcessInjection 该程序旨在执行进程注入。 目前该工具支持 5 种进程注入技术。 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection 该工具接受 4 种格式的 shellcode。 1 base64 2 hex 3 c 4 raw 该工具支持 4 种进程注入方法。 1 P/Invoke 2 D/Invoke 3 Direct Syscalls 4 Indirect Syscalls 支持 3 种检测规避技术。 ...

fortress

One browser engine to rule them all Stealth Chromium engine · v3 Chromium 153 Fortress is a Chromium fork that stops scrapers and browser agents from getting blocked. Bot detectors flag automation by reading the browser fingerprint. Fortress corrects that fingerprint inside Chromium's C++, so the...

trevorc2

trevorc2 TrevorC2 - Command and Control via Legitimate Behavior over HTTP Written by: Dave Kennedy @HackingDave Website: https://www.trustedsec.com Note that this is a very early release - heavy randomization and encryption to be added soon. TrevorC2 is a client/server model for masking command a...

Invoke-DNSteal

Invoke-DNSteal 是一款简单且可自定义的 DNS 数据窃取工具。 该工具可帮助您通过 UDP 和 TCP 上的 DNS 协议窃取数据，并允许您使用随机延迟控制查询的大小。此外，它还允许您通过在每个查询中使用随机域名来避免检测，并且您可以在本地和远程传输信息。 系统要求 PowerShell 4.0 或更高版本 Python 2 下载 建议克隆完整仓库或下载压缩包。 您可以通过运行以下命令来完成： git clone https://github.com/JoelGMSec/Invoke-DNSteal.git 使用方法 .\Invoke-DNSteal.ps1 -h | | ...

EDRSandblast

EDRSandBlast EDRSandBlast 是一个用 C 编写的工具，它利用一个有漏洞的已签名驱动程序来绕过 EDR 检测（通知例程回调、对象回调和 ETW TI 提供程序）以及 LSASS 保护。还实现了多种用户态脱钩技术，以规避用户态监控。 在发布时，结合了用户态（--usermode）和内核态（--kernelmode）技术，在 EDR 监视下转储了 LSASS 内存，既没有被阻止，也没有在产品（云）控制台中生成与“OS Credential Dumping”相关的事件。测试在 3 种不同的 EDR 产品上进行，并且在每种情况下都成功了。 描述 通过移除内核通知例程绕过 E...

Cooolis-ms

Cooolis-ms Cooolis-ms 是一个支持Metasploit Framework RPC的一个服务端，用于给Shellcode和PE加载器工作，在一定程度上绕过反病毒软件的静态查杀，同时可以让Cooolis-ms服务端与Metasploit服务器进行分离。 加载器执行流程： 1. 连接Cooolis-Server 2. Cooolis-Server连接Metasploit RPC服务端 3. 取回Payload然后发送回加载器 核心技术： 静态恶意代码逃逸（第六课） 该项目的优点 体积小（ Docker部署（推荐） Bilibili: $ git clone...

Anti-Virus-Evading-Payloads

🚩 Anti-Virus-Evading-Payloads !CAUTION 在渗透测试或道德黑客任务的漏洞利用阶段，你最终需要尝试让代码在目标系统计算机上运行。无论是通过钓鱼邮件、利用漏洞投递载荷，还是社会工程学，在目标计算机上运行代码都是大多数渗透测试的一部分。这意味着你需要能够绕过杀毒软件或其他基于主机的防护，才能成功完成漏洞利用。避免目标计算机上杀毒软件检测的最有效方法是创建你自己的定制后门。以下是在创建后门时规避杀毒软件的简单方法！...

p3-loader

P³-Shellcode Loader - 进程参数投毒 作者：Max Hirschberger & Ogulcan Ugur 目录 1. 引言 2. 典型的进程注入及相关系统API 3. 所需Windows内部机制的技术基础 3.1 进程创建API与启动参数 3.2 进程环境块（PEB） 4. 进程参数投毒（P³） 4.1 使用投毒参数启动进程 4.2 在新进程中定位注入的数据 4.3 执行注入的代码 4.4 已实现的有效载荷注入 5. 在字符串中传递任意Shellcode 5.1 Shellcode生成器使用的底层辅助方法 5.2 高级操作的实现 6. 该技术避免检测的优势 7...

Shelltropy

Shelltropy 你越可预测，就越不容易被检测 一种基于Shannon编码的低熵隐藏恶意Shellcode的技术。 熵是衡量数据（此处：Shellcode）随机性的指标。熵越高，数据越随机。Shannon熵算法会返回0到8之间的结果，其中8表示数据中没有模式，因此非常随机；0表示数据遵循某种模式。 注意： 请参阅我的博客文章，了解更详细的研究说明以及一个简单的Vanilla Shellcode注入PoC。 安装 克隆此仓库： git clone https://github.com/kleiton0x00/Shelltropy.git 对于编码器： 创建一个新的Visual...

PSSW100AVB

⚡ PSSW100AVB ⚡ PowerShell 检测规避与沙箱研究 具有 100% AV 绕过能力的 PowerShell 脚本（PSSW100AVB）仓库 行为分析 • AV 研究 • 对抗模拟 PSSW100AVB 仓库描述 该仓库包含为渗透测试目的而设计的 PowerShell 脚本 ，包括反弹 Shell。在发布时，没有脚本被防病毒系统标记。然而，通常在发布后 2-3 周内，一些厂商开始检测并标记这些恶意文件。在它们仍未被检测到的时间里，请随意使用、分享和测试这些脚本。 联系我 🔗 道德使用说明...

rebrowser-patches

🪄 Patches for undetectable browser automation This repo contains patches to enhance popular web automation libraries. Specifically, it targets the puppeteer and playwright packages. Some aspects of automation libraries or browser behavior cannot be adjusted through settings or command-line...

Ghost-In-The-Logs

日志中的幽灵 此工具允许你规避 Sysmon 和 Windows 事件日志记录，我的博客文章可在此处找到。 用法 你可以从此处获取最新版本。 开始 获得最新版本后，不带参数运行它以查看可用命令。 $ gitl.exe 加载钩子 $ gitl.exe load 启用钩子（禁用所有日志记录） $ gitl.exe enable 禁用钩子（启用所有日志记录） $ gitl.exe disable 获取钩子状态 $ gitl.exe status 前置条件 高完整性管理员权限 致谢 特别感谢： hfiref0x 提供了出色的 KDU everdox 提供了超酷的 InfinityHook...

CVE-2023-38831

CVE-2023-38831 漏洞利用 - 诱饵与替换存档生成器 概述 此 Python 脚本旨在生成一个“诱饵与替换”存档文件。它仅用于教育和道德黑客目的。请确保你在使用该脚本之前已获得必要的权限。 一个 “诱饵与替换”（bait and switch） 存档是一种包含两个具有相同扩展名的不同版本文件的存档，从而使安全软件难以检测到恶意内容。它通常包含一个合法文件（诱饵）和一个恶意脚本（替换部分）。当毫无戒心的用户或系统解压并打开该存档时，脚本可能会被执行，从而可能危及系统。 使用方法 语法 python cve-2023-38831.py 参数 : 诱饵文件的名称（例如...

Nim-Reverse-Shell

Nim 反向 Shell 一个用 Nim 编写的简单反向 Shell，可绕过 Windows Defender 检测（详见下方“已测试操作系统”部分）。此代码仅供教育用途 。 已测试操作系统 Windows 10 10.0.19045 Windows 11 10.0.22621 编译 代码可以通过 Nim 以多种方式编译。在此示例中，代码使用 MinGW 编译为 EXE，并在执行后在受害者后台运行（得益于 "--app:gui" 标志）。我强烈建议按照以下示例进行操作，以尽可能减少检测。 nim c -d:mingw --app:gui revshell.nim...

VBoxCloak

VBoxCloak 一个PowerShell脚本，旨在帮助恶意软件分析师隐藏其VirtualBox Windows虚拟机，以防被可能试图逃避分析的恶意软件检测到。保证能让你的pafish评分至少下降几分 ; 该脚本通过以下方式实现： 重命名恶意软件通常用于检测虚拟机的多个注册表键。 终止VirtualBox进程（VBoxService、VBoxTray等）。 删除VirtualBox驱动程序文件（这不会导致VirtualBox崩溃，因为这些驱动程序已经加载到内存中！）。 删除或重命名System32和SysWOW64目录中的VirtualBox支持文件。 更多信息，请参阅我的博客文章：...

Forensia

Forensia 反取证工具，适用于红队成员，用于清除后渗透阶段的部分痕迹。 减少Payload损耗并延长检测倒计时。可用于测试您的应急响应/取证团队的能力。 功能 卸载 Sysmon 驱动。 Gutmann 方法文件粉碎。 USN 日志禁用器。 Prefetch 禁用器。 日志擦除器和事件日志禁用器。 用户辅助更新时间禁用器。 访问时间禁用器。 清除最近项目 清除 Shim 缓存 清除 RecentFileCache 清除 ShellBag 删除 Windows Defender 隔离文件 文件自毁功能。 重要更新 新增： 清除最近项目 清除 Shim 缓存 清除...

SliverMirage

SliverMirage 本项目是 CrystalSliver 的一个分支，在 Crystal Palace PICO 加载器的基础上扩展了双层 AMSI 绕过、ETW 静默，以及面向 Sliver C2 的六种投递变体。 功能 SliverMirage 将 Sliver 植入体 DLL 通过 Crystal Palace PICO 虚拟化进行封装，然后通过一个无需修补 amsi.dll 或 ntdll.dll 即可绕过 AMSI 和 ETW 的加载器进行投递。 规避技术栈： 层| 技术| 详情 ---|---|--- AMSI L1| CLR 字符串破坏|...

claude-awm

claude-awm: can you scrub a SynthID text watermark by editing the text? Yes, but only one family of attack works, and it isn't the one everyone assumes. Unicode variation selectors category Mn, U+FE00 to U+FE0F and U+E0100 to U+E01EF drive the detector below threshold and stay there. Every other...

Pokemon-Shellcode-Loader

宝可梦 Shellcode Loader 厌倦了整天盯着十六进制，还时不时弹出一堆 '\x41'？更想看洛奇亚/小火龙？我为你找到了解决方案。@Checkymander 发推提到用宝可梦名字来创建 shellcode 加载器。这是一个用来和蓝队斗智斗勇的趣味项目，但当时还没有 PoC！（至少在我上次查看时还没有） 注意 1 更新后的代码会放在我的 GitHub 上：https://github.com/Techryptic/Pokemon-Shellcode-Loader 注意 2...

Beginners-Guide-to-Obfuscation

规避检测：混淆入门指南 防御者不断调整其安全措施以应对新威胁。我们的任务是识别他们计划如何保护其系统，并避免被识别为威胁。这是一门动手实践课程，旨在学习恶意软件投递和规避检测背后的方法论。本工作坊将深入探讨微软反恶意软件扫描接口 AMSI、Windows Defender 和 Windows 事件跟踪 ETW 的内部工作原理。我们将学习如何使用 Visual Basic VB、PowerShell 和 C 来部署混淆恶意软件，以规避微软的防御。学生将学习构建 AMSI 绕过技术、混淆载荷以规避动态和静态签名检测方法，并了解替代性的网络规避方法。 目标 理解混淆在红队作战中的使用和应用。...