CVE-2024-21305

CVE-2024-21305 이 저장소에는 CVE-2024-21305의 보고서와 PoC가 포함되어 있으며, 이는 비보안 하이퍼바이저 보호 코드 무결성HVCI 구성 취약점입니다. 이 취약점으로 인해 루트 파티션 내에서 임의의 커널 모드 코드가 실행될 수 있어 사실상 HVCI를 우회할 수 있었습니다. 근본 원인에 대해서는 이 문제를 분석하고 수정한 Windows Core OS 엔지니어인 Andrea Allievi@aall86와 공동 작성한 블로그 게시물을 읽어보세요. 이 저장소의 보고서는 제가 MSRC에 보낸 내용으로, PoC와 문...

VectorKernel

VectorKernel 커널모드 루트킷 기술 연구 또는 교육을 위한 PoCs. 현재 Windows OS에 초점을 맞추고 있습니다. 모든 모듈은 x64 계열 64비트 OS만 지원합니다. 환경 모든 모듈은 Windows 11 x64에서 테스트되었습니다. 드라이버를 테스트하려면 테스트 머신에서 다음 옵션을 사용할 수 있습니다. 1. 테스트 서명 드라이버 로드 활성화 2. 커널 모드 디버깅 설정 각 옵션은 Secure Boot를 비활성화해야 합니다. 모듈 자세한 정보는 각 프로젝트 디렉터리의 README.md에 제공됩니다. 모든 모듈...

HyperDbg

HyperDbg 디버거 HyperDbg 디버거 는 Windows 용 오픈소스 하이퍼바이저 지원 디버거이며Linux 지원은 현재 개발 중!, 사용자 모드와 커널 모드네이티브 디버깅을 모두 지원합니다. 최신 하드웨어 가상화 및 추적 기능을 사용하여 리버스 엔지니어링, 퍼징, 고급 시스템 분석을 위해 설계되었습니다. HyperDbg 의 새 릴리스 소식을 받아보려면 Twitter 또는 Mastodon 에서 팔로우하거나, HyperDbg 그룹에 참여하여 개발자와 오픈소스 리버스 엔지니어링 애호가에게 HyperDbg 설정 및 사용에 대한...

aegis

Aegis 커널 모드 프로세스 보호 드라이버로, ObRegisterCallbacks를 사용하여 핸들에서 메모리 접근 권한을 제거합니다. 핸들 생성에 후킹하여 PROCESSVMREAD/WRITE/OPERATION을 무단 접근 시도에서 제거하는 기본적인 구현입니다. 참고: GIF가 애니메이션되지 않으면 Imgur에서 직접 보기 개요 드라이버는 고도 321123에서 OB 콜백을 등록하고 OBOPERATIONHANDLECREATE 및 OBOPERATIONHANDLEDUPLICATE 작업을 가로챕니다. 프로세스가 보호 대상에 대한 핸들...

TiEtwAgent

TiEtwAgent - ETW 기반 프로세스 인젝션 탐지 이 프로젝트는 다양한 메모리 인젝션 탐지 사용 사례와 우회 기법을 연구, 구축 및 테스트하기 위해 만들어졌습니다. 에이전트는 Microsoft-Windows-Threat-Intelligence 이벤트 추적 공급자를 사용하며, Userland 후킹보다 더 현대적이고 안정적인 대안으로, 커널 모드 가시성의 이점을 제공합니다. 프로젝트는 ETS 설정 및 소비를 위해 microsoft/krabsetw 라이브러리에 의존합니다. 관련 블로그 게시물은 여기에서 확인할 수 있습니다:...

backdoors

バックドア Hacker House チームによって書かれた、システムへのアクセス維持と概念実証デモを目的としたツール群です。これらのツールは、カーネルモードフッキングやコマンド&コントロール実装などの一般的な永続化テクニックをシミュレートまたはデモンストレーションするために設計されています。 ファイル| 説明 ---|--- bindshell.go| GoLang で書かれたバインドシェルの例 bindshell.py| Python で書かれたバインドシェルの例 cmdbot.py| IRC C2 を介してコマンドを実行する Python ボット filehider.tgz|...

systeminformer

System Informer A free, powerful, multi-purpose tool that helps you monitor system resources, debug software and detect malware. Brought to you by Winsider Seminars & Solutions, Inc...

Microsoft Windows Cloud Files Mini Filter Driver CldiStreamCompleteRequest use-after-free vulnerability

Summary A use-after-free vulnerability exists in the CldiStreamCompleteRequest functionality of Windows Cloud Files Mini Filter Driver versions: 10.0.26100.8457 WinBuild.160101.0800. A specially crafted sequence of Cloud Filter API calls can lead to privilege escalation. An attacker can execute a...

DIRT

DIRT: 드라이버 초기 정찰 도구 저는 이 도구를 C++ 학습과 Windows 시스템에 설치된 드라이버예: OEM 또는 기업에서 개발한 마스터 이미지에 대한 초기 평가를 위해 작성하고 있습니다. 이 도구는 대상 선택, 쉬운 표적 찾기, 심층 바이너리 분석 지원에 도움을 주기 위한 것입니다. 현재 불안정하며, 활발히 개발 중입니다. 주요 기능 DeviceIoControl을 통해 비관리자 사용자가 상호작용할 수 있는 커널 모드 드라이버 목록화 이는 잠재적으로 LPE에 사용될 수 있는 드라이버를 좁히는 데 유용할 수 있습니다...

FalconEye

FalconEye: 윈도우 프로세스 인젝션 실시간 탐지 소프트웨어 FalconEye는 실시간 프로세스 인젝션을 위한 윈도우 엔드포인트 탐지 소프트웨어입니다. 커널 모드 드라이버로서, 프로세스 인젝션이 발생하는 즉시실시간으로 탐지하는 것을 목표로 합니다. FalconEye는 커널 모드에서 실행되므로, 다양한 사용자 모드 후크를 회피하려는 프로세스 인젝션 기술에 대해 더 강력하고 신뢰할 수 있는 방어를 제공합니다. 발표 자료는 2021 Blackhat ASIA Arsenal과 슬라이드에서 확인할 수 있습니다. 프로젝트 개요 탐지 ...

NtWarden

NtWARden Windows解析・研究ツールキット ImGui + DirectX 11上に構築されたWindowsシステム検査ツール。 プロセス、サービス、ネットワーク、カーネル内部などをカバー - ローカルまたはWinSysServer経由のネットワーク上で動作。 ⚠️ このプロジェクトの一部はAI支援によるvibe codingで作成されているため、バグが含まれている可能性があります。 カーネルドライバ（KWinSys）は、研究目的のテストVMでのみインストールしてください。 スクリーンショット プロセス（カーネルモード） プロセス（ユーザーモード） | ETWセッション |...

access_updated

Singular Access btbd/access の更新版フォーク — Windows 10/11 互換性のため Zydis ベースの動的パターン検索を採用 ハンドルを必要とせずに特権プロセス操作を可能にするカーネルモード syscall ラッパーです。カーネルとユーザーモード間の通信に xKdEnumerateDebuggingDevices ポインターフックを使用します。 特徴 ✅ ハードコードされたオフセットなし — すべてのカーネル関数/オフセットは Zydis ディスアセンブラにより実行時に発見されます ✅ バージョン非依存 — Windows 10 1607+ および...

wmi-static-spoofer

wmi-static-spoofer 동기: 초기 동기는 안티치트와 같은 침습적 소프트웨어나 소프트웨어에 구현된 라이선스 제한에 사용되는 HWID 탐지 방법을 우회하는 것입니다. 개념은 새로운 것이 아니지만 다른 솔루션은 항상 로드된 드라이버와 커널 후크가 필요하며 불안정할 수 있습니다. 이 프로젝트는 직접 메모리 조작만 사용하며, 함수를 후킹하거나 항상 로드된 커널 모듈 없이도 시리얼을 위조할 수 있게 합니다. 설명: 아무것도 후킹하지 않고 커널 모드에서 HDD/디스크 드라이브의 시리얼번호를 위조합니다. 드라이버는 시리얼번호를...

r0ak

r0ak r0ak는 Windows 명령줄 유틸리티로, 관리자 권한 외에는 다른 것이 필요 없이 명령 프롬프트에서 커널 모드 코드를 쉽게 읽고, 쓰고, 실행할 수 있게 해줍니다일부 제한 사항 있음. Quick Peek r0ak v1.0.0 -- Ring 0 Army Knife http://www.github.com/ionescu007/r0ak Copyright c 2018 Alex Ionescu @aionescu http://www.windows-internals.com USAGE: r0ak.exe --execute --writ...

CVE-2016-7255

CVE-2016-7255 Microsoft Windows Vista SP2, Windows Server 2008 SP2 및 R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold 및 R2, Windows RT 8.1, Windows 10 Gold, 1511 및 1607, Windows Server 2016의 커널 모드 드라이버는 제작된 응용 프로그램을 통해 로컬 사용자가 권한을 상승할 수 있도록 허용합니다. 일명 "Win32k 권한 상승 취약점"입니다. 리비아에서 온 성인...

Driver-kaldereta

Kaldereta 执行内存修改的未签名内核模式驱动程序 功能特性 获取进程 ID 获取映像的基地址 更改内存区域的保护属性 分配内存区域 释放内存 从地址读取/写入 从带偏移的地址读取/写入 从内存读取到缓冲区 从缓冲区写入到内存 模拟鼠标事件 模拟键盘事件 特征码扫描 手动映射 x64 安装配置 安装 Windows Driver Kit 使用 KDMapper 加载 .sys 文件 支持 如果您需要任何帮助，请通过 Discord 联系我们 想要捐赠？https://www.buymeacoffee.com/stephenasuncion 许可证...

EATGuard

EATGuard Export Address Filtering EAF のような、エクスポートアドレステーブル保護の緩和策の実装です。 仕組み このプロジェクトは3つのバイナリで構成されており、コンパイルすると EATGuard\bin\ にあります。それらは以下のとおりです: 1. EATGuardApplication.exe - プロセスに EATGuardDll.dll を読み込み、その後 notepad.exe を実行する実行可能コード（シェルコード）を実行する「悪意のある」アプリケーションです。 2. EATGuardDll.dll -...

Kernel-Process-Hollowing

Windows カーネルモードの Process Hollowing このプロジェクトは、Process Hollowing 技術がカーネルレベルでどのように動作するかを示す概念実証です。 リソース SSDT Hook Process Hollowing...

AV_Kernel_Vulns

AVKernelVulns 본인이 발견한 안티바이러스 소프트웨어의 커널 취약점에 대한 PoC입니다...

recon_2024_windbg_workshop

REcon 2024 - WinDbgでより良いデバッグを行うためのヒントとコツ このリポジトリには、REcon 2024 で開催されたワークショップ「WinDbgでより良いデバッグを行うためのヒントとコツ」のために作成された資料が含まれています。 セットアップ このワークショップの資料は、カーネルモードでのデバッグ時に役立つWinDbgの機能を提供することを目的としていますが、その概念はユーザーモードのデバッグにも十分に適用できます。 KdNet環境を簡単にセットアップするには、次の方法があります。 Windows VMを作成し、bcdedit /dbgsettings...