FalconEye

FalconEye: Windows进程注入实时检测软件 FalconEye是一款针对Windows端点的实时进程注入检测软件。它是一个内核模式驱动程序，旨在实时捕获进程注入（实时进行）。由于FalconEye运行在内核模式下，它针对试图逃避各种用户模式挂钩的进程注入技术提供了更强且可靠的防御。 您可以查看我们在2021 Blackhat ASIA Arsenal上的演示以及幻灯片。 项目概览 检测覆盖范围 下表展示了各类进程注入技术的实现状态和检测逻辑。WPM代表WriteProcessMemory。如需测试检测功能，可参考参考文献部分。 技术| 状态| 检测逻辑| 使用的POC...

NullGate

NullGate 本项目实现了一种便捷且现代的方式来使用 NTAPI 函数，通过间接系统调用（indirect syscalls），并结合了 FreshyCalls 方法，在动态获取系统调用编号方面做了一点改动。 它还使用了一种我尚未见他人提及的技术来绕过 Windows Defender 的内存扫描。 该项目使用该库实现了一个经典的 PoC 进程注入器。 同时提供了一些便捷的加密函数。 演示 构建 要构建示例，请使用 -DNULLGATEBUILDSAMPLE=ON。 如果你直接构建 nullgate，产物会位于 /sample.exe；如果是作为依赖构建，则在...

inject-assembly

inject-assembly - 在现有进程中执行 .NET 该工具是 Cobalt Strike 传统 fork 和 run 执行方式的替代方案。加载器可注入任意进程，包括当前 Beacon。长时间运行的程序集将继续执行并将输出发送回 Beacon，类似于 execute-assembly 的行为。 inject-assembly 包含两个组件： 1. BOF 初始化器 ：一个小型程序，负责将程序集加载器注入远程进程并附带任意参数。它使用 BeaconInjectProcess 执行注入，这意味着此行为可通过 Malleable C2 配置文件或进程注入 BOF（从 4.5...

venom-rs

使用 Rust 实现的 Shellcode 反射式 DLL 注入 sRDI（代号：Venom） Shellcode 反射式 DLL 注入（sRDI）是一种进程注入技术，它允许我们将给定的 DLL 转换为位置无关代码，然后可以使用我们最喜欢的 Shellcode 注入与执行技术来注入该代码。 特性 反射式加载器的大小约为 4KB。 不会释放注入器分配的内存，也不会移除用户注入器设置的任何现有 RWX 权限（如果适用）。 不会在解析导入或重定位映像之后/之前覆盖或擦除新分配内存的 DOS 或 NT 头。 对由 VirtualAlloc 函数分配的每个节应用保护设置，并随后执行 DllMain...

globalprotect-ca-cert-ipc

c2us.exe - Lanza un comando como el usuario que ejecuta la sesión de escritorio del usuario conectado. En este caso, lanza cmd.exe como SYSTEM en la sesión de escritorio del usuario sin privilegios. c2us.c - Código fuente para c2us.exe. epinject.exe - Inyector de punto de entrada, utilizado para...

AudioServer-Voip-Recorder

Objetivo: Demostrar la captura de flujos VoIP enganchando el audioserver de Android específicamente libaudioflinger.so y grabando los buffers PCM de subida micrófono y bajada altavoz cuando el sistema está en modo communication. Diseño del Proyecto y Metodología Arquitectura: App de Control Andro...

doublepulsar-usermode-injector

Autor: Matt Hillman [email protected] - @sp1nl0ck Empresa: Countercept @countercept Sitio web: https://countercept.com Una utilidad que usa el shellcode en modo usuario de la carga útil de DOUBLEPULSAR para cargar de forma reflectiva un DLL arbitrario en otro proceso, para su uso en la prueb...

process-injection-playground

Linux 进程注入演练场 一个全面的 Linux 进程注入技术合集，演示了向运行中进程注入代码的各种方法。这些示例仅供教育、安全研究以及理解底层 Linux 进程操作之用。 概述 进程注入是一种在另一个进程的上下文中运行代码的技术。虽然通常与恶意软件相关联，但这些技术也具有以下重要价值： 安全研究 ：理解攻击向量并开发防御手段 调试 ：分析和修改运行中的应用程序 插桩 ：性能分析和监控 渗透测试 ：授权的安全评估 CTF 竞赛 ：夺旗挑战 可用技术 1. 基于 Ptrace 的代码注入 目录 ：ptrace/ 经典的进程注入方法，使用 ptrace 系统调用直接将 shellcode...

VX-API

管理元: vx-underground | Twitterでフォローする Twitter | VXUG/samplesページでマルウェアサンプルをダウンロード VXUG/samples VX-API バージョン: 2.01.015 開発者: smellyvx VX-APIは、マルウェア開発を支援する悪意のある機能のコレクションです。このリポジトリ全体をクローンまたはダウンロードし、Visual Studioソリューションファイルを開いて機能やコンセプトを簡単に探索することをお勧めします。...

MalwareForge---Advanced-Static-Malware-Analyzer

🛡️ MalwareForge - Analizador Avanzado de Malware Estático MalwareForge es una potente herramienta de análisis estático de malware que detecta comportamiento malicioso sin ejecutar el archivo. ✨ Características 🦠 Análisis de comportamiento : Inyección de procesos, persistencia, red, stealer, evasió...

Dirty-Vanity

Dirty Vanity Una POC para la nueva técnica de inyección, que abusa de la API fork de Windows para evadir los EDR. Uso DirtyVanity.exe TARGETPIDTOREFLECT Pasos en tiempo de ejecución Asignar y escribir el shellcode en TARGETPIDTOREFLECT Hacer fork de TARGETPIDTOREFLECT a un nuevo proceso Establece...

CobaltWhispers

CobaltWhispers Author: @Cerbersec CobaltWhispers es un script Aggressor que utiliza una colección de Beacon Object Files para Cobalt Strike para realizar inyección de procesos, persistencia y más, aprovechando syscalls directas para evadir EDR/AV. CobaltWhispers está impulsado por SysWhispers2 y...

injection-2

Inyección de procesos en Windows Estos son algunos métodos populares utilizados para la inyección de procesos en el sistema operativo Windows. Conhost ExtraBytes PROPagate Service Control Handler Print Spooler / ALPC KernelCallbackTable CLIPBRDWNDCLASS WordWarping, Hyphentension, AutoCourgette,...

Split

Descripción Divide and Conquer es un algoritmo que se aplica comúnmente en programación para resolver un problema complejo dividiéndolo en muchos subproblemas más simples. Podemos aplicar este enfoque a la seguridad ofensiva con un objetivo diferente: confundir a los EDR para que pierdan el rastr...

DInvoke

DInvoke Reemplazo dinámico de PInvoke en Windows. DInvoke contiene primitivas potentes que pueden combinarse de forma inteligente para invocar dinámicamente código no administrado desde el disco o desde la memoria con precisión cuidada. Esto puede utilizarse para muchos propósitos, como el anális...

process-inject-kit

Process Inject Kit 这是将 Cobalt Strike 的 Process Inject Kit 从 C 移植到 C++ BOF 模板的版本。 工作原理 内置的 fork 与 run 进程注入技术可以通过 PROCESSINJECTSPAWN 和 PROCESSINJECTEXPLICIT 钩子进行更改。 本仓库提供以下内容： 实现内置技术的源代码。 用于实现钩子的 Aggressor 脚本。 用于编译并生成分发目录的 Visual Studio 解决方案。 PROCESSINJECTSPAWN 允许用户定义 spawn 进程注入技术的实现方式。...

Christmas

Maldev Academy Maldev Academy 首页 Maldev Academy 课程大纲 Christmas 实现了 @Hexacorn 提到的一种注入方法。 此 PoC 会创建多个进程，每个进程在注入操作中执行特定任务。每个子进程都会生成另一个进程，并通过命令行传递所需信息。 该程序按以下步骤执行： 1. 第一个子进程创建将被注入 payload 的目标进程。该句柄会被所有后续子进程继承。 2. 第二个子进程将在目标进程中分配内存。 3. 第三个子进程将把先前分配的内存权限更改为 RWX。 4. 接下来，针对 payload 的每 1024...

RemoteDLLInjector

介绍 这是一个可用于 DLL 注入的工具： 从 RemoteDLLInjector 执行的那一刻起，它将提供为实现 DLL 注入所执行的完整步骤。 如果 DLL 成功注入，它将返回一个具有该进程权限的 meterpreter 会话。因此，权限高于标准进程的进程可能被滥用，以实现权限提升。...

invoker

Invoker 渗透测试工具与反病毒评估工具。 使用 Visual Studio Community 2022 v17.5.4（64位）构建，并在 Windows 10 企业版操作系统（64位）上测试。 仅用于教育目的。希望它能有所帮助！ 该仓库已有已知签名，且我没有时间每次都上传新的可执行文件，因此您应自行编译此项目。 有用的网站： elastic.co learn.microsoft.com processhacker.sourceforge.io undocumented.ntinternals.net pinvoke.net 待办事项： 使进程幽灵化与 x86 架构兼容，因为...

dvenom

🐍 Double Venom DVenom Double Venom DVenom 是一款帮助红队绕过防病毒软件的加密封装与加载器工具，用于处理你的 shellcode。 🚀 功能特性 🛡️ 能够绕过一些知名防病毒软件 AV。 🔒 提供多种加密方式：RC4、AES256、XOR 和 ROT。 🏗️ 生成 C、Rust、PowerShell、ASPX 和 VBA 格式的源代码。 🔄 采用不同的 shellcode 加载技术：VirtualAlloc、Process Injection、NT Section Injection、Hollow Process Injection。 🎓 快速上手...