sRDI

sRDI - Shellcode Reflective DLL Injection sRDI allows for the conversion of DLL files to position independent shellcode. It attempts to be a fully functional PE loader supporting proper section permissions, TLS callbacks, and sanity checks. It can be thought of as a shellcode PE loader strapped t...

amber

Inroduction Amber is a position-independentreflective PE loader that enables in-memory execution of native PE filesEXE, DLL, SYS.... It enables stealthy in-memory payload deployment that can be used to bypass anti-virus, firewall, IDS, IPS products, and application white-listing mitigations...

ft9201-libfprint

ft9201-libfprint 리눅스 지문 인식 지원을 위한 Focal-systems FT9201 USB 리더기 2808:93a9, 독립형 Windows Hello 동글로 판매됨의 libfprint 드라이버입니다. 센서는 작은 96×96 광학 리더기입니다. libfprint의 내장 매처는 그렇게 작은 이미지에서 성능이 좋지 않으므로, 이 드라이버는 대신 FocalTech 자체 매칭 엔진 — 서명된 Windows 드라이버의 ftWbioEngineAdapter.dll — 을 재사용하며, 작은 인프로세스 PE 로더로 리눅스에서...

zig-pe

zig-pe Zig로 작성된 반사형 PE 로더입니다. 네이티브 및 .NET PE 파일을 메모리에서 직접 로드하고 실행합니다. 기능 PE 로딩 파이프라인 DOS 및 NT 헤더 파싱 런타임에 PE32 및 PE32+ 할당된 메모리에 섹션 매핑 임포트 해석 이름 및 순서, PE32 4바이트 / PE32+ 8바이트 썽크 베이스 재배치 적용 HIGHLOW, DIR64, ARMMOV32, THUMBMOV32 지연 임포트 해석 DataDirectory13, 최신 RVA 형식 예외 처리기 등록 RtlAddFunctionTable,...

ReflectiveDLLInjection

개요 Reflective DLL 인젝션은 반사적 프로그래밍reflective programming 개념을 활용하여 호스트 프로세스의 메모리에서 라이브러리 로딩을 수행하는 라이브러리 인젝션 기법입니다. 즉, 라이브러리가 최소한의 PEPortable Executable 파일 로더를 구현하여 스스로를 로딩하는 역할을 담당합니다. 이를 통해 호스트 시스템 및 프로세스와의 최소한의 상호작용만으로 로딩 방식과 호스트와의 상호작용 방식을 제어할 수 있습니다. 이 인젝션은 해당 아키텍처가 지원되는 Windows NT4부터 Windows 8까...

Huan

Huan Huan은 암호화된 PE 로더 생성기로, PE 파일 구조와 PE 로딩 프로세스를 학습하기 위해 제가 개발했습니다. 실행될 PE 파일을 매번 다른 키로 암호화하며, 로더 바이너리의 새 섹션에 포함시킵니다. 현재 64비트 PE 파일에서 작동합니다. 작동 방식? 먼저 Huan이 주어진 PE 파일을 읽고 CBC 모드 AES-128 암호화 알고리즘으로 암호화합니다. 암호화를 위해 Tiny AES in C를 사용했으며, 이 라이브러리의 요구 사항에 맞춰 패딩 코드를 준비했습니다. 암호화가 완료되면 Visual Studio...

libpeconv

libPeConv PE 파일을 로드하고 조작하기 위한 라이브러리입니다. 목표 libPEConv의 목표는 PE 파일의 사용자 정의 로딩을 위한 "스위스 아미 나이프"를 만드는 것이었습니다. 이 라이브러리는 자체 로더에 빠르게 통합할 수 있는 다양한 헬퍼 함수를 모아 놓았습니다. 예를 들어: 섹션 재매핑, 재배치 적용, 임포트 로딩, 리소스 파싱 등이 있습니다. PE 파일을 로드할 수 있을 뿐만 아니라 일부 단계를 사용자 정의할 수도 있습니다. 즉, IAT 후킹사용자 정의 IAT 해석기 제공 및 함수 리디렉션을 지원합니다. 그러나...

dotNetPELoader

dotNetPELoader 보안 주의사항 최근 이 저장소 외부에서 재배포되는 비공식 수정 버전을 발견했습니다. 파일을 검토한 결과, 공식 소스 코드에 존재하지 않는 추가적인 숨겨진 구성 요소와 스크립트 로딩 동작을 확인했습니다. 다음 사항을 유의하시기 바랍니다: 비공식 배포본에는 원본 소스 코드의 일부가 아닌 추가 실행 파일 및 스크립트 로딩 요소가 포함되어 있습니다. 이 프로젝트의 공식 릴리스는 이 저장소에서만 게시됩니다. 공식 릴리스에는 추가 배치 파일, 숨겨진 로더 또는 내장 스크립트 구성 요소가 포함되어 있지 않습니다...

CVE-2026-79298

🐞 CVE-2026-79298: Howyar SysReturn의 UEFI Secure Boot 우회에 대한 불완전한 교정 취약점이 패치되었습니다. 바이너리가 폐기되었습니다. 그러나 아키텍처의 절반만 수정되었습니다. 18개월 후, IA-32 부팅 경로는 여전히 동일한 사용자 정의 PE 로더, 동일한 우회된 Secure Boot 검증, 그리고 동일한 폐기된 Authenticode 해시를 가지고 있었으며, 2026년 7월까지 SysReturn NetCopy의 모든 사본에 상용으로 제공되었습니다. 이것이 CVE-2026-79298입니...

Exploit for CVE-2026-79298

🐞 CVE-2026-79298: Incomplete Remediation of UEFI Secure Boo...

EUVD-2026-29347

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963 barebox EFI PE Loader Memory Safety Vulnerabilities

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963 barebox EFI PE Loader Memory Safety Vulnerabilities

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

PT-2026-39869

Name of the Vulnerable Software and Affected Versions barebox versions prior to 2026.04.0 Description Multiple memory-safety issues exist in the EFI PE loader within the efi/loader/pe.c file. An integer overflow occurs during virtual image size computation when using 32-bit arithmetic on section...

Barebox 输入验证错误漏洞

Barebox is a versatile and flexible bootloader developed by Barebox Open Source. Versions of barebox prior to 2026.04.0 contained a vulnerability related to input validation errors. This vulnerability stemmed from integer overflows and unvalidated boundaries within the EFI PE loader, which could...

Exploit for Time-of-check Time-of-use (TOCTOU) Race Condition in Microsoft

Collateral Damage Collateral Damage is a kernel exploit for Xb...

Huan - Encrypted PE Loader Generator

Huan is an encrypted PE Loader Generator that I developed for learning PE file structure and PE loading processes. It encrypts the PE file to be run with different keys each time and embeds it in a new section of the loader binary. Currently, it works on 64 bit PE files. How It Works? First, Huan...

Cooolis-ms - A Server That Supports The Metasploit Framework RPC

Cooolis-ms is a server that supports Metasploit Framework RPC. It is used to work for Shellcode and PE loader, bypassing the static detection of anti-virus software to a certain extent, and allows the Cooolis-ms server to perform with the Metasploit server separate. Loader execution process: 1...

Windows Inject Reflective PE Files, Reverse TCP Stager with UUID Support (Windows x64)

Inject a custom native PE file into the exploited process using a reflective PE loader. The reflective PE loader will execute the pre-mapped PE image starting from the address of entry after performing image base relocation and API address resolution. This module requires a PE file that contains...