CobaltStrikeParser

CobaltStrikeParser Pythonパーサー - CobaltStrike Beaconの設定を解析します 説明 ステージレスのビーコン、メモリダンプ、またはC2 URLに対して、parsebeaconconfig.py を使用します（Metasploit互換モードはデフォルトで有効）。 多くのステージレスビーコンはPEであり、ビーコンコード自体が .data セクションに格納され、4バイトのキーでXORされています。 スクリプトはヒューリスティックにXORキーとデータを検出し、データを復号して、そこから設定を解析します。...

sshkey-grab

sshkey-grab This script uses a bug in ssh-agent that allows it to pull the last key added to the agent. This may allow the ability to recover a key that has been removed from ssh-agent via ssh-add -t, -d, or -D, provided that the ssh-agent was not terminated and a new key has not been added since...

DuplicateDump

DuplicateDump DuplicateDumpはMirrorDumpのフォークで、以下の変更が加えられています。 DInvokeの実装 C++で記述されたLSAプラグインDLL。LSASSのダンプ後にクリーンアップ可能。MirrorDumpはLSAプラグインを.NETアセンブリとしてコンパイルするため、LSASSプロセスによってアンロードされず、プラグインの削除に失敗します。 ダンププロセス（DuplicateDump）のPIDが名前付きパイプを介してLSAプラグインに共有される MiniDumpWriteDumpにLSASS...

fitness-app

Fitbit 开源安卓应用 此应用基于 Jiska Classen、Matthias Hanreich、Steffen Kreis、Tobias Krichel、Johannes Riedel 和 Sven Ströher 的工作。 功能特点 扫描 BLE Fitbit 设备 像原始应用一样向 Fitbit 服务器进行身份验证 从 Fitbit 服务器获取身份验证凭据，用于身份验证重放¹ 获取活动数据转储¹ 并对其进行解密² 访问实时模式¹ 转储内存，包括完整的固件² 刷写自定义固件³，可修改步数、读取原始加速度计数据等。 工作流程 使用官方 Fitbit...

blindsight

blindsight “根本不存在什么适者生存。 或许只是最合适者生存。 解决方案是否最优并不重要。 重要的是它能否胜过替代方案。” —— 彼得·沃茨，《盲视》（2006） 用于转储 LSASS 内存、绕过基本防护措施的红队工具。它利用事务性 NTFS（TxF API）透明地打乱内存转储内容，以避免触发 AV/EDR/XDR。 文章 https://hnsecurity.it/blog/an-offensive-rust-encore 另请参阅 https://attack.mitre.org/techniques/T1003/001/...

KeePass-dump-py

KeePass-dump-py 我尝试用 python 重新编写原始的 KeePass 2.X 主密码转储器 CVE-2023-32784 POC。 请前往 原始 POC 了解更多关于漏洞及利用过程的详细信息。 此脚本的作用： 1. 检查 KeePass 进程是否正在运行，如果没有则启动 KeePass 2. 使用 WerFault 转储 KeePass 进程（代码片段改编自 LSASSY） 3. 搜索进程转储以查找密码...

VolExp

VolExp Volatility エクスプローラ このプログラムは、メモリダンプへのアクセスをユーザーに提供します。また、Volatility Framework https://github.com/volatilityfoundation/volatility のプラグインとしても機能します。 このプログラムは Process Explorer/Hacker と同様に機能しますが、さらにメモリダンプへのアクセス（または Memtriage を使用したコンピュータ上のリアルタイムメモリへのアクセス）をユーザーに提供します。 このプログラムは Windows、Linux、MacOS...

KeePwn

レッドチームがKeePassインスタンスを発見し、シークレットを抽出するためのPythonスクリプト。 機能 KeePass 発見 SMB C$共有を介してKeePassインストールファイルを探す。 複数のターゲットソース（IP、CIDR、ホスト名、ファイル）を受け付ける。 KeePassメタデータ（バージョン、最終アクセス時刻）を確認する。 ImpacketベースのRPCを介して実行中のKeePassプロセスを確認する。 ボトルネックホストを避けるためのマルチスレッド実装。 検索結果をCSVにエクスポート。 KDBXデータベースを探す。 KeePass プラグインの悪用 SMB...

PPLBlade

PPLBlade 保護プロセスダンパーツール。メモリダンプの難読化と、ディスクに保存せずにリモートワークステーションへ転送をサポートします。 主な機能 : 1. PPL保護のバイパス 2. メモリダンプファイルを難読化し、Defenderのシグネチャベース検出メカニズムを回避 3. RAWおよびSMBアップロード方式でメモリダンプをディスクに保存せずにアップロード（ファイルレスダンプ） 本ツールで使用されるテクニックの概要はこちら:...

SharpSphere

SharpSphere - vSphere インフラストラクチャの攻撃 クレジット @jkcoote および @grzryc 完全なウォークスルーとサンプルはこちらからご覧いただけます。 バージョン履歴 1.0 - 初期リリース 2.0 - SSPIを使用したパススルー認証のサポートを追加 2.1 - LinuxターゲットVMのサポートを--linuxで追加、vCenterユーザーとグループを一覧表示する--verboseフラグを追加 はじめに...

HandleKatz

HandleKatz このツールは、Brucon2021カンファレンスのトークの一部として実装され、Lsassへのクローンハンドル を使用して、その難読化されたメモリダンプを作成する方法を示しています。 コンパイルすると、完全にテキストセグメント内に存在する 実行可能ファイルになります。したがって、抽出されたPEファイルの.textセグメントは完全に位置独立コード（=PIC）であり、任意のシェルコードと同様に扱うことができます。 メモリ内でのHandleKatzの実行はフットプリントが非常に小さく、それ自体がそれ以上実行可能メモリを割り当てないため、@ForrestOrr...

gentlemen-decryptor

The Gentlemen ランサムウェア復号化ツール The Gentlemenランサムウェアに対する初の公開復号化手法。 The Gentlemen（別名hastalamuerte）は、現在世界で最も活発なランサムウェア・アズ・ア・サービス（RaaS）であり、2026年第1四半期時点で320件以上の確認された被害者 がいます。これまで、Cybereason、Group-IB、Check Point、ASEC、Trend Microなど主要なセキュリティベンダーはすべて、この暗号化は暗号学的に破ることができないと評価していました。公開された復号化ツールは存在しませんでした。...

keepass-password-dumper

Volcador de contraseña maestra de KeePass 2.X CVE-2023-32784 Actualización La vulnerabilidad fue asignada CVE-2023-32784 y corregida en KeePass 2.54. Gracias nuevamente a Dominik Reichl por su rápida respuesta y solución creativa. Aclaración: la contraseña debe escribirse en un teclado, no copiar...

mimipenguin

MimiPenguin 2.0 現在のLinuxデスクトップユーザーのログインパスワードをダンプするツール。人気のWindowsツールmimikatzの背後にあるアイデアを応用したものです。これは CVE-2018-20781 https://vulners.com/cve/CVE-2018-20781 に割り当てられました。興味深い事実として、GNOME Keyring 3.27.2 以降も修正されておらず、3.28.0.2-1ubuntu1.18.04.1 でもまだ動作します。 詳細...

CVE-2023-30367-mRemoteNG-password-dumper

mRemoteNG = v1.77.3.1784-NB 密码转储工具 CVE-2023-30367 Multi-Remote Next Generation Connection Manager mRemoteNG 是一款免费软件，允许用户存储和管理多协议连接配置，以远程连接到系统。 mRemoteNG 配置文件可以以加密状态存储在磁盘上。mRemoteNG 版本 = v1.76.20 及 = 1.77.3-dev...

linux_screenshot_xwindows

Intro The goal of this volatility plugin is to extract a screenshot of all open X windows from a memory dump. Previous work The volatility plugin linuxxwindows realised by Adam Bridge https://github.com/bridgeythegeek/linuxxwindows extracts various metadata from the window objects registered to X...

Netgrave

Netgrave Una herramienta para recuperar credenciales de inicio de sesión de cámaras IP Netwave mediante una vulnerabilidad de volcado de memoria CVE-2018-17240. Este proyecto fue inspirado por expcamera y ofrece mejoras de rendimiento y eficiencia. Esta herramienta funciona en todas las plataform...

Memory-analysis

内存分析 包含用于在内存中执行恶意软件和取证分析的工具。 插件： Dyrescan.py - 解析内存中的 Dyreconfig。 Rat9002.py - 解析内存中的 9002 rat 配置。 plugx.py - 解析内存中的 plugx 配置（已修改，同时解析配置大小：0x170c）。 ghostrat.py - 解析内存中的 ghostrat 配置。 分析脚本： volanalysis.sh - 使用 volatility 自动化分析的脚本 commonsearchstrings.txt - 由 volanalysis.sh...

BSOD_bitlocker_recover

Herramienta de extracción de VMK de BitLocker Este script de Python te ayuda a extraer posibles Claves Maestras de Volumen VMK de BitLocker a partir de archivos de volcado de memoria, como los generados por una Pantalla Azul de la Muerte BSOD. Es una utilidad de línea de comandos diseñada para...

radare2-scripts

radare2 脚本 概述 一组用于 radare2 的脚本集合。 r2bincarver.py - 用于从内存转储中雕刻文件的脚本。 r2hashfuncdecoder.py - 用于解码哈希函数的脚本，常见于 shellcode 中。 脚本 二进制文件雕刻器 该脚本可根据给定的偏移量和大小，从内存转储（MDMP）中雕刻文件。 除了雕刻功能外，它还支持对雕刻出的 PE 文件进行基本修补。 在编写本文时，它将修补 PE 节头中的偏移量。 依赖要求 root@kitploit: pip install r2pipe 使用默认参数的示例输出： 示例 root@kitploit: $...