Sealighter

Sealighter - 安全研究的简易ETW追踪 我创建这个项目是为了帮助非开发人员深入研究Windows事件追踪（ETW）和Windows预处理器追踪（WPP）。 功能特性 同时订阅多个ETW和WPP提供程序 自动将事件解析为JSON，无需了解格式 强大的事件过滤功能，包括过滤器链和过滤器取反 输出到标准输出、文件或Windows事件日志（供其他工具采集） 获取事件堆栈跟踪 可配置的缓冲：将一段时间内的多个事件合并为一个（含计数），以减少生成的事件数量 概述 Sealighter利用功能丰富的Krabs ETW库，实现对ETW和WPP提供程序及事件的详细过滤和分类。...

RPCMon

一款通过 Windows 事件跟踪（ETW）扫描 RPC 通信的 GUI 工具。 该工具作为关于主机与 Windows 容器之间 RPC 通信研究的一部分发布。 概述 RPCMon 可以帮助研究人员获得进程间 RPC 通信的高层次视图。它像 Procmon 一样构建，便于使用，并采用 James Forshaw 的 .NET 库来处理 RPC。RPCMon 能够显示正在调用的 RPC 函数、调用这些函数的进程以及其他相关信息。 RPCMon 使用一个硬编码的 RPC 字典来快速处理 RPC 信息，该字典包含 RPC 模块的信息。它还提供了构建 RPC 数据库的选项，以便在硬编码 RPC...

BeaconHunter

BeaconHunter 基于行为的监控与狩猎工具，使用 C 构建并利用 ETW 追踪。蓝队成员可使用此工具检测和响应潜在的 Cobalt Strike 信标。红队成员可使用此工具研究 ETW 绕过技术并发现行为类似信标的新进程。 作者 ：Andrew Oliveau @AndrewOliveau 摘要 注入良性进程中的信标植入体，其线程通常处于 Wait:DelayExecution 状态（可能与 Cobalt Strike 的 sleep 有关）。查找所有包含处于 Wait:DelayExecution 状态线程的进程，然后利用 ETW 追踪专门监控可疑线程活动： HTTP/HTTP...

RemotePSpy

RemotePSpy RemotePSpy proporciona monitorización en vivo de sesiones remotas de PowerShell, lo que resulta especialmente útil para versiones antiguas anteriores a la 5.0 de PowerShell que no disponen de funciones integrales de registro integradas. Utiliza Event Tracing for Windows ETW para obtene...