Ares

Project Ares Project Ares 注入器 Project Ares 注入器是一个基于 Transacted Hollowing 技术的概念验证 PoC 加载器，用 C/C++ 编写。该加载器将 PE 注入远程进程，并具有以下功能： PPID 欺骗 CIG（代码完整性保护）以阻止非 Microsoft 签名的二进制文件 动态函数解析，无需使用 LoadLibrary 或 GetProcAddress API API 哈希 通过从磁盘刷新 .text 段的干净版本来取消对 NTDLL 的挂钩 最小化使用 WIN32 API 基本沙箱检测 从 PE 资源加载的 AES256...

VectoredOverloading

VectoredOverloading Vectored Overloading 是一种本地 PE 注入技术，最早在 KidKadi 恶意软件中被发现。 它通过使用硬件断点（HWBP）和向量化异常处理（VEH）操控合法 DLL 的加载过程，从而动态更改 DLL 段对象。 本质上，该技术执行以下操作： 从合法 DLL（例如 wmp.dll）创建一个 SECIMAGE 映射 将有效载荷 PE 映射到该镜像内存上 将其入口点设置为 0，并在 FileHeader-Characteristics 字段中强制设置 DLL 标志 在 NtOpenSection 上设置 HWBP，然后加载任意合法 D...

process_overwriting

Process Overwriting Process Overwriting is a PE injection technique, closely related to Process Hollowing and Module Overloading. With its help, you can replace the main executable not a DLL of the target process. It works only for a newly created process - injection to existing processes is not...

process_overwriting

进程覆写 进程覆写是一种 PE 注入技术，与进程空心化和模块重载密切相关。 借助它，你可以替换目标进程的主可执行文件（而非 DLL）。 它仅适用于新创建的进程——该技术不支持注入到现有进程。 警告：目标镜像的大小必须不小于有效载荷镜像的大小。 执行步骤： 1. 从良性文件创建一个挂起的进程（禁用 CFG） 2. 将有效载荷映射到内存，并覆写到原始映射的镜像上（不取消映射原始镜像） 3. 将进程的入口点更新为有效载荷的入口点 4. 恢复进程，执行被替换的 PE !IMPORTANT 阅读常见问题解答 演示： 演示有效载荷（demo.bin）注入到 Windows 计算器（默认目标）：...

frida-extract

FridaExtract FridaExtract 是一个基于 Frida.re 的 RunPE 提取工具。RunPE 类型注入是恶意软件常用的技术，用于将代码隐藏在另一个进程中。它也是许多加壳器的最后阶段 : 注意：Frida 现在也支持使用 "MapViewOfSection" 技术提取注入的 PE 文件，该技术最佳描述见此处。 使用 FridaExtract，您可以自动提取并重建一个通过 RunPE 方法注入的 PE 文件...并绕过这些加壳器！ 为什么选择 Frida？ 已经有大量优秀的工具可以提取 RunPE 注入的代码，FridaExtract 并不...

PowerSploit

Fork 以添加一些我通常手动执行的 PowerView.ps1 功能 此项目已不再支持 PowerSploit 是一个 Microsoft PowerShell 模块集合，可用于在评估的各个阶段帮助渗透测试人员。PowerSploit 由以下模块和脚本组成： CodeExecution 在目标机器上执行代码。 Invoke-DllInjection 将 Dll 注入到你选择的进程 ID 中。 Invoke-ReflectivePEInjection 以反射方式将 Windows PE 文件（DLL/EXE）加载到 PowerShell 进程中，或者以反射方式将 DLL 注入到远程进程中...

ShellExploit

This project is no longer supported PowerSploit is a col...

DCOM abuse and lateral movement with Cobalt Strike

Introduction When researching lateral movement techniques I came across a post from Raphael Mudge of Cobalt Strike fame. He details scripting an Aggressor Script for Matt Nelson’s MMC20.Application Lateral Movement technique. Reading that post spurred me to make my own DCOM based lateral movement...

Q&A: Insights from the Red Canary 2020 Threat Detection Report

In light of the latest update to the MITRE ATT&CK framework, Red Canary has developed a Threat Detection Report uncovering the top techniques attackers use to target your organization. To understand the significance of the report, we turned to two of VMware Carbon Black’s top threat experts, Greg...

InfectPE - Inject Custom Code into PE File

Using this tool you can inject x-code/shellcode into PE file. InjectPE works only with 32-bit executable files. Why you need InjectPE? You can test your security products. Use in a phishing campaign. Learn how PE injection works. ...and so on. In the project, there is hardcoded x-code of...