MappedImagesDetector

MappedImagesDetector 네이티브 Windows 메모리 스캐너: 악성 DLL 인젝션 및 인메모리 멀웨어 탐지 MappedImagesDetector는 최신 멀웨어가 사용하는 악성 DLL 인젝션 기법수동 매핑 DLL, 지워진 PE 헤더, 의심스러운 메모리 매핑 이미지을 탐지하도록 설계된 저수준 C++20 Windows 도구 입니다. 전통적인 안티바이러스 솔루션이 종종 놓치는 이러한 기법을 찾아냅니다. 이 프로젝트는 디스크 시그니처가 아닌 메모리 기반 탐지 에 중점을 둡니다. 안티바이러스 엔진, EDR 시스템 및 멀웨어...

IAT-Hook

フッキング - IAT フッキング フッキングとは、プログラムの実行フローをリダイレクトすることを可能にするテクニックです。ほとんどの場合、関数フッキングを使用します。関数を独自のものに置き換えるか、リダイレクトするかのいずれかであり、これは非常に便利で、複数のユースケースがあります。フッキングには複数の方法がありますが、ここでは IAT Hooking を見ていきます。これは Import Address Table の略です。実行時に埋められる大きなテーブル内の関数のアドレスを、独自のものに置き換えることで構成されます。別のリポジトリでも述べたように、このコードの IAT...

Clematis

Clematis 中文 | English 🛠️ PEファイル（EXE/DLL）を位置非依存シェルコードに変換するための強力なツール。 ✨ 主な機能 PEファイル（EXE/DLL）のシェルコード変換に対応 x86 / x64 両アーキテクチャに対応 コマンドライン引数のサポート 出力ファイルサイズを大幅に削減する LZNT1 圧縮アルゴリズムを内蔵 ステルス性を高める任意の難読化機能 📦 インストール 依存関係 pip install pefile lznt1 🚀 使い方 python clematis.py -f -o -g -c -p パラメータ | | desc| default|...

CVE-2024-7344

🐞 CVE-2024-7344: 不適切なPEイメージ読み込み このリポジトリには、UEFIシステムに影響を与えるSecure Boot回避の脆弱性であるCVE-2024-7344に関連する研究資料が含まれています。この脆弱性の技術的分析、攻撃フローのドキュメント、および管理された環境で脆弱な動作を再現するために作成された再現アプリケーションを一元管理しています。また、セキュリティ研究者がこの脆弱性に関連する技術を理解、研究、実験するのに役立つドキュメントと研究リソースも含まれています。 📑 目次 最初の発見と公式リファレンス 脆弱なバイナリ（実世界／教育用） 脆弱性の概要（分析と悪用）...

peafl64

概要 peafl64 は、Windows の x64 PE を対象とした静的インストルメンテーションツールです。 静的インストルメンテーションとは、実行可能ファイルを編集し、特定の場所にコードを追加する手法です。 このインストルメンテーションは、バイナリ内のすべての基本ブロックの先頭にコードを追加し、実行フローを AFL 互換の方法で記録します。 これにより、ソースコードにアクセスすることなく、ユーザーモード（WinAFL を使用）およびカーネルモード（kAFL を使用）でバイナリをファジングできます。 Windows...

ManualRsrcDataFetching

ManualRsrcDataFetching: FindResource & LoadResource & LockResource & SizeofResource の Windows API を置き換える単一の関数 注記: Payload.ico は x64 calc シェルコードです...

Icedid-file-decryptor

IcedID Decryptor IcedID感染に関連するlicense.datファイルを静的に復号するスクリプトです。 このスクリプトは、アンパックされたIcedIDサンプルの.dataセクションも復号します。 注記: スクリプトは、PEファイルとlicense.datファイルのどちらが指定されたかを自動的に検出します。 PEファイルが指定された場合、スクリプトはそのファイルが事前にアンパックされていることを前提とします。 復号に成功すると、rawダンプがoutput.binに書き込まれます。 さらに、簡単な文字列検索が実行され、検出された文字列がファイルに書き込まれます。...

cve-2021-40444

cve-2021-40444 「A Letter Before Court 4.docx」という悪意のあるファイルをリバースエンジニアリングし、cve-2021-40444 を悪用する 悪意のある Word ファイルおよび cab ファイルを含むファイルは、any.run からダウンロードできます: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/ 注意！ 元の悪意のあるコード内のドメイン名は、悪意のあるコードの実行ミスを防ぐため 127.0.0.1:8000 に置き換えられています 。 独自の...

CVE-2013-3900-PowerShell-PoC

CVE-2013-3900-PowerShell-PoC このPoCは教育および研究目的のみで提供されます。 作者は、このコードの誤用またはそれによって生じた損害について一切の責任を負いません。 このPowerShellスクリプトは、CVE-2013-3900で説明されている攻撃をシミュレートするためのテストツールです。...

Astra Linux – Vulnerability found in Linux 6.1, Linux 5.10, and Linux 5.15

In the Linux kernel, the following vulnerability has been resolved: ipvs: Properly dereferencing pe in ipvsaddservice. Use pe directly to resolve the sparse warning: net/netfilter/ipvs/ipvsctl.c:1471:27: warning: dereference of noderef expression...

unicorn_pe

Unicorn PE Unicorn PE は、unicorn ベースの計測プロジェクト/フレームワークであり、Windows PE ファイル、特にパックされたファイルのコード実行をエミュレートするために設計されています。 このプロジェクトはアーカイブされ、もはやメンテナンスされていません。後継として sogen が推奨されます。 機能 エミュレーションメモリから PE イメージをファイルにダンプし、インポートテーブルを修正し、VMProtect の文字列を復号し、VMProtect のインポートを復号します。 例外の部分的なサポート。DB と BP のみ...

radare2-scripts

radare2 スクリプト 概要 radare2 で使用するためのスクリプト「コレクション」。 r2bincarver.py - メモリダンプからファイルをカービングするためのスクリプト。 r2hashfuncdecoder.py - シェルコードでよく見られるハッシュ化された関数をデコードするためのスクリプト。 スクリプト Binary Carver このスクリプトは、オフセットとサイズを指定して、メモリダンプ（MDMP）からファイルをカービングします。 カービングに加えて、カービングしたPEファイルの基本的なパッチ適用もサポートしています。...

ReflectiveDLLInjection

概要 リフレクティブDLLインジェクションは、リフレクティブプログラミングの概念を利用して、ホストプロセス内のメモリからライブラリのロードを実行するライブラリインジェクション技術です。このため、ライブラリは最小限のポータブル実行可能（PE）ファイルローダーを実装することで、自身のロードを担当します。そして、ホストシステムおよびプロセスとの最小限のやり取りで、どのようにロードされ、ホストとやり取りするかを制御できます。 インジェクションは、Windows NT4からWindows 8まで、該当する場合はx86、x64、ARM上で動作します。 概要...

pev

readpe pev は @mentebinaria/readpe に移動し、新しいメンテナーが加わりました。:...

LazZzy_Dump

laZzzy Dump laZzzyでラップされたPEバイナリから、動的実行、デバッグ、エミュレーションを必要とせずに暗号化されたシェルコードを抽出するための静的解析ツール。 概要 laZzzy Dumpは、AES-CBC暗号化とXOR難読化を組み合わせて使用するオープンソースのシェルコードローダーであるlaZzzyでコンパイルされたバイナリから、シェルコードを静的に抽出することで解析を支援するマルウェア解析ツールです。...

ExportDumper

ExportDumper PEファイルのエクスポートテーブルをダンプするために作成した小さなツールです。主な用途はDLLプロキシ内での使用を想定しています。 使い方 .\ExportDump dllpath 例 .\ExportDump C:\Windows\System32\version.dll Dumping all 17 exported functions from C:\windows\system32\version.dll. + Dumping done. Check pragma.h...

py_certificate_extractor

pycertificateextractor 가끔은 디지털 서명 파일에서 인증서 정보를 추출해야 할 필요가 있습니다. 그럴 때 이 도구를 사용하세요. 쉽게 끝낼 수 있습니다. 변경이 필요하거나 추가 기능이 필요하면 알려주세요. 기능 디지털 서명 파일에서 인증서 정보를 추출하고 인증서를 내보내기저장합니다. 그게 전부입니다. v1.0.0 https://github.com/password123456/digitalsignedpefilecertificateextractor/blob/main/Changes 미리보기...

XPEViewer

Windows、Linux、MacOS 向けの PE ファイルビューア/エディタ。 ダウンロード: https://github.com/horsicq/XPEViewer/releases 実行方法: https://github.com/horsicq/XPEViewer/blob/master/docs/RUN.md ビルド方法: https://github.com/horsicq/XPEViewer/blob/master/docs/BUILD.md 変更履歴:...

RansomLord

RansomLord NG v1.0 反勒索软件漏洞利用工具。 概念验证工具，可自动创建 PE 文件，用于在勒索软件加密前利用其漏洞。 更新版本 NG：https://github.com/malvuln/RansomLord/releases/tag/v1.0 语言：C SHA256: ACB0C4EEAB421761B6C6E70B0FA1D20CE08247525641A7CD03B33A6EE3D35D8A Deweaponize 功能 PoC 视频（NG v1.0）2025 年： https://www.youtube.com/watch?v=w5TKNvnE0g PoC...

cfgrip

cfgrip PE/ELF x86/x64 CFG 추출기. 바이너리를 입력받아 디스어셈블하고, 모든 점프와 호출GOT, 점프 테이블, 레지스터 추적을 분석한 후, 전체 제어 흐름 그래프를 구조화된 JSON으로 내보냅니다. 필요한 이유 모든 분기가 어디로 가는지 정확히 알아야 합니다. 읽기 위한 것이 아닙니다 — 패치를 위한 것입니다. JSON을 Zydis나 AsmJit에 넣고, 후킹하거나 수정해야 할 정확한 명령어를 찾은 후 다시 쓰면 됩니다. 안티치트 팀은 게임 바이너리를 매핑하는 데 사용합니다. 리버스 엔지니어는 코드를 자신의...