NTDLL-Unhook

NTDLL 脱钩 通过原生API实现正确的ntdll.dll .text节脱钩。支持x86/x64/wow64。 工作原理 程序遍历PEB定位ntdll.dll基地址，手动解析PE导出表以解析NT...

HashDump-BypassEDR

1 项目概述 通过系统白程序 Reg.exe 的拓展应用，巧妙的绕过了杀软的拦截点，实现了绕过EDR从而DumpHash的目的。 根据实际测试，该方法针对Windows系列系统具有有效性，操作难度不大，具有实战价值。 本项目实战文章： 如何绕过EDR实现DumpHash-AabyssZG'Blog 如何绕过EDR实现DumpHash-国家网络空间安全云社区 文章发表后，在国内和海外社区没找到相同的思路，原本以为是全球首发，后续根据粉丝评论，该思路之前海外有大佬分享过：Dumping LSA secrets: a story about task decorrelation...

CVE-2025-61156

CVE-2025-61156 在 ThreatFire System Monitor（v4.7.0.53）的内核模式 TfSysMon.sys 组件中发现了一个漏洞，允许非特权用户以内核模式权限执行任意进程终止操作。因此，PPL 和受保护的系统进程可以被强制停止，包括但不限于反恶意软件、EDR 解决方案、代理客户端等。这可能导致本地 EDR 绕过 和拒绝服务 。 如上所述，由于缺少适当的 DACL 来限制哪些用户能够或不能打开此驱动程序的 HANDLE，包括非管理员在内的低权限用户可以通过此易受攻击的驱动程序以内核权限自由终止 PPL 和其他受保护进程，或导致本地拒绝服务。...

DSCourier

DSCourier 説明 DSCourierは、Microsoft署名バイナリを通じてDSC構成を適用するためにWinGet Configuration COM APIを使用する概念実証です。別のブログ投稿では、この手法の完全な技術的詳細が提供されています。 DSCourierは主に研究トピックから構築されており、完成されたツールというよりは概念実証として見なされるべきです。その価値の多くは、オペレーター自身が変更、拡張、実験し、独自の構成ファイルを作成することにあります。この研究プロジェクトは好奇心と楽しみから作成されたものであり、悪意を持って使用されるべきではありません。...

ExecuteAssembly

説明: ExecuteAssemblyはCSのexecute-assemblyの代替であり、C/C++で構築されています。ホスト（spawnto）プロセスに読み込まれたCLRモジュール/AppDomainManagerの再利用、ローダー/.NETアセンブリのPE DOSヘッダーの隠蔽、.NET関連モジュールのリンク解除、ETW+AMSIのバイパス、NT静的システムコール（x64）によるEDRフックの回避、superfasthashハッシュアルゴリズムを使用したAPIの動的解決によるインポートの隠蔽により、.NETアセンブリを読み込み/インジェクションするために使用できます。...

EDRSandblast

EDRSandBlast EDRSandBlast は、C で書かれたツールであり、脆弱性のある署名済みドライバを悪用して、EDR の検出（Notify Routine コールバック、Object Callbacks、ETW TI プロバイダー）や LSASS の保護をバイパスします。また、ユーザーランド監視を回避するための複数のユーザーランドアンフック技術も実装されています。 リリース時点では、ユーザーランド（--usermode）とカーネルランド（--kernelmode）の技術を組み合わせて、EDR の監視下で LSASS...

ICMP-Ghost-A-Fileless-x64-Assembly-C2-Agent

root@kitploit: |\ |\ |\ |\ |\ |\ \ |\ |\ \ \ \ | \ \ \\ \ \ |\ \ \ || \ | \ \ |||\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \ \ \ \ \ \ \ \ \ |\ \ \ \ \ \ \ \\ ||\ \ \ \ \ \ \ |\ \ \ \ \ \ \ \ \ \\ \ \ \ \ \\ \ |||||||\ || ||| ||...

PolyEngine

PolyEngine — ポリモーフィックPEパッカー 📦 PolyEngine は、CTFチャレンジや低レベルのWindowsセキュリティ教育向けに設計された、研究グレードの回避型PEパッカーです。EDRやAVのヒューリスティックを、メモリ内実行と難読化技術の階層的なスタックを通じてバイパスすることに焦点を当てています。 これは私がしばらく取り組んできたサイドプロジェクトです。Claude...

SharpBlock

SharpBlock エントリポイントの実行を防ぐことで、EDRのアクティブプロジェクションDLLをバイパスする方法。 特徴 EDR DLLのエントリポイント実行をブロックし、EDRフックが配置されるのを防ぎます。 ランタイムでAmsi.dllのコードパッチを検出するスキャナーから検出されない、パッチレスのAMSIバイパス。 ディスク、HTTP、または名前付きパイプ（Cobalt Strike）からロード可能なインプラントPEに置き換えられるホストプロセス。 インプラントプロセスは非表示になり、プロセス空洞化を検出するスキャナーを回避するのに役立ちます。...

Shhhloader

Shhhloader Shhhloader 是一个仍在开发中的 Shellcode 加载器。它接收原始 Shellcode 作为输入，并编译一个 C++ 存根，该存根会执行一系列不同的操作以尝试绕过 AV/EDR。附带的 Python 构建器可以在任何安装了 Mingw-w64 的 Linux 系统上运行。 2024年1月25日编辑：Shhhloader 现已支持PoolParty 变体 7！还添加了一个选项，可将 PoolParty 与模块占用（Module Stomping）相结合，以防止执行的 Shellcode 驻留在未备份内存中。以下视频演示了这种针对 Defender ATP...

MoveEdr

MoveEDR 如果你以管理员身份操作，可以强制 Windows 在启动后、服务启动之前立即删除或移动文件夹和文件。这可以用来禁用 EDR。 使用 !CAUTION 有一个与 CrowdStrike 相关的问题，会导致循环启动并显示消息 "INACCESSIBLEBOOTDEVICE"。 我的理论是，要么 CrowdStrike 本身，要么某个软件部署解决方案，试图安装缺失的 CrowdStrike 文件，但失败并使其处于损坏状态。 我不确定这是取决于移动后经过的时间，还是执行重启的次数。 第一次移动 CrowdStrike 并重启是正常的。 也许在第一次重启后安排撤消操作，以免出错。...

awesome-edr-bypass

Awesome EDR Bypass 🛡️ 倫理的なハッキングのための Awesome EDR バイパスリソース ⚔️ EDR バイパス技術は攻撃者だけのものではありません。多くのマルウェアが EDR バイパス機能を備えており、ペネトレーションテスターやインシデントレスポンダーもその知識を理解しておくべきです。このリポジトリは攻撃のエスカレーションを目的としたものではありません。倫理的なハッキングに使用してください。 PoC trickster0/TartarusGate: TartarusGate、EDRバイパス am0nsec/HellsGate: Hell's Gate VX...

EtwSessionHijacking

EtwSessionHijacking: 阻止 Procmon 监控网络事件的 PoC 演示: https://user-images.githubusercontent.com/111295429/186082150-32ed304b-ba45-42a4-8baa-37dd75246c68.mp4 基于: 现代 EDR 的设计问题: 绕过基于 ETW 的解决方案...

CVE-2026-36425

CVE-2026-36425 : OPSWAT AppRemover 任意プロセス終了 署名されたOPSWATカーネルドライバで、要求に応じて任意のプロセスを強制終了します。管理者権限不要、権限チェックなし、問答無用。EDR、アンチウイルス、PPLで保護されたプロセスを指定すると、即座に終了します。3種類の異なる強制終了方法があり、すべてカーネルモードで実行され、任意のローカルユーザーからの単一のIOCTLでトリガーされます。脆弱なドライバのバリアントが16個特定され、すべて有効な署名が付与されています。 ⚠️...

inceptor

🚩 これはInceptorの公開リポジトリです。最新バージョンとアップデートについては、https://porchetta.industries/ からサポートをご検討ください。 🚩 スポンサー このプロジェクトをスポンサーしていただき、Inceptorの最新アップデート、最新の修正、最新機能を入手したい場合は、https://porchetta.industries/ でサポートをお願いします。 公式Discordチャンネル Discordでおしゃべりしましょう！ Porchetta Industries 目次 概要 インストール 使い方 ニュース NW:...

EDR-Preloader

EDR-Preloader 一种EDR绕过技术，通过劫持AppVerifier层防止EDR向我们的进程挂钩或加载DLL。 详细信息请参阅：malwaretech.com/2024/02/bypassing-edrs-with-edr-preload.html...

SigFlip

これは何ですか？ SigFlip は、オーセンティコード署名付き PE ファイル exe、dll、sys など を、既存のオーセンティコード署名に影響を与えたり壊したりしない方法でパッチ適用するためのツールです。言い換えれば、ファイルの署名、整合性チェック、または PE ファイルの機能を壊すことなく、データ シェルコードなど を埋め込むことで PE ファイルのチェックサムやハッシュを変更できます。 SigInject は、シェルコードを暗号化して PE ファイルの WINCERTIFICATE 証明書テーブルに注入します。暗号化キーは、基本的な BOF/C/C ローダー SigLoade...

SharpToken

SharpToken Red team の横方向移動中、私たちはしばしば他のユーザーの権限を奪取する必要があります。現代の EDR の防御下では、Mimikatz を使用して他のユーザー権限を取得することは困難であり、対象ユーザーにアクティブなプロセスが存在しない場合、"OpenProcessToken" を使用してトークンを盗むことはできません。 SharpToken は、トークン漏洩を悪用するためのツールです。システム上のすべてのプロセスから漏洩したトークンを見つけて使用できます。もしあなたが低権限のサービスユーザーであれば、これを使用して "NT AUTHORITY\SYSTEM"...

hades

概要 Hades は、最新のAV/EDRが一般的に使用する防御機構をバイパスすることを目的として、いくつかの回避技術を組み合わせた概念実証ローダーです。 使用方法 最も簡単な方法は、Linux上で make を使用してプロジェクトをビルドすることです。 root@kitploit: git clone https://github.com/f1zm0/hades && cd hades make...

maldev-for-dummies

菜鸟恶意软件开发指南 在 EDR 时代，红队操作人员再也无法依赖预编译的有效载荷了。因此，恶意软件开发正在成为每位操作人员的必备技能。开始接触恶意开发可能看起来令人生畏，但实际上非常简单。本次动手实践将告诉你开始所需的一切！ 该仓库包含了在 Hack in Paris 2022 和 X33fcon 2023 上举办（或即将举办）的“菜鸟恶意开发”动手实践的幻灯片和配套练习。虽然这些幻灯片是为“现场”演示而设计的，但相关材料和练习将一直保留在此处，供你按自己的节奏完成——学习过程不应仓促！欢迎对本仓库提出问题或建议，提交 Issue 和 Pull Request。 ⚠ 免责声明：...