ntoskrnl-metadata

ntoskrnl-metadata 用于从 Windows ntoskrnl.exe 二进制文件中提取关键内核元数据的 IDA Python 脚本。该工具可自动提取开发针对 CVE-2026-40369 及其他内核漏洞的利用所需的函数 RVA 和 EPROCESS 结构偏移量。 用途 该工具通过自动提取版本特定的内核元数据（这些元数据必须硬编码到利用载荷中），帮助构建针对 CVE-2026-40369 的成功利用。提取的值可确保在不同 Windows 构建版本和补丁级别下正确进行函数挂钩和结构成员访问。 功能特性 自动函数 RVA 提取 ：检索关键内核函数的 RVA：...

MemITM

MemITMツールとは？ MemITM（Mem In The Middle）ツールは、Windowsプロセスメモリ内の「メッセージ」を簡単にインターセプトするために開発されました。暗号化前のネットワークメッセージやIPCメッセージをキャプチャし、それらを検査したり、ファジングのために変更したりするために、多くのカスタムメモリインターセプションツールを開発してきました。各ツールは非常にカスタムで汎用性がなく、C/ASMで実装されており、使用・保守・適応が容易ではありませんでした。 MemITMツールはこれらの問題に対処するために開発され、以下で構成されています： IDA...

astaroth-deobfuscator

astaroth-deobfuscator Script de IDA Python para desofuscar la DLL inyectora de Astaroth/Guildma Al intentar analizar la DLL inyectora de una campaña reciente de Astaroth/Guildma gracias a este diario de SANS ISC, me topé con un intento de ofuscación realmente molesto. Una función a la que llamé...

KPOT-string-decrypter

KPOT-string-decrypter Scripts de Python para IDA que descifran las cadenas del stealer KPOT y las establecen como comentarios junto a la variable que las recibiría durante la ejecución. Funciona de la siguiente manera: Obtiene el offset que se pasa en eax a cualquiera de las funciones de descifra...

libtalloc

libtalloc libtalloc is a python script for use with GDB that can be used to analyse the "trivial allocator" talloc. An introduction is about talloc can be found here: https://talloc.samba.org/talloc/doc/html/index.html libtalloc was inspired by other gdb python scripts for analyzing heaps like...

Karta - Source Code Assisted Fast Binary Matching Plugin For IDA

"Karta" Russian for "Map" is an IDA Python plugin that identifies and matches open-sourced libraries in a given binary. The plugin uses a unique technique that enables it to support huge binaries 200,000 functions, with almost no impact on the overall performance. The matching algorithm is...

MemITM - Tool To Make In Memory Man In The Middle

The MemITM Mem In The Middle tool has been developped in order to easily intercept "messages" in Windows processes memory. We developped a lot of custom memory interception tools in order to capture network messages before encryption, or IPC messages, and to be able to inspect them or alter them ...

Memory Man in the Middle: MemITM

The MemITM Mem In The Middle tool has been developed in order to easily intercept “messages” in Windows processes memory. We developed a lot of custom memory interception tools in order to capture network messages before encryption, or IPC messages, and to be able to inspect them or alter them to...

TPLINK TLWR740N路由器远程代码执行漏洞(CVE-2017-13772)

INTRODUCTION In October of 2017 we disclosed multiple vulnerabilities in TP-Link’s WR940n router that occurred due to multiple code paths calling strcpy on user controllable unsanitised input CVE-2017-13772 The httpd binary responsible for these vulnerabilities contained patterns of code that...

Malware monitor - leveraging PyREBox for malware analysis

This post was authored by Xabier Ugarte Pedrero In July 2017 we released PyREBox, a Python Scriptable Reverse Engineering Sandbox as an open source tool. This project is part of our continuous effort to create new tools to improve our workflows. PyREBox is a versatile instrumentation framework...