ShellGhost

ShellGhost 一种基于内存的规避技术，使 shellcode 从进程开始到结束均不可见。 动机 我想分享这个 shellcode 自注入 POC，以展示一些可能对红队有用的 AV/EDR 规避概念。就在几周前，我想出了一种自定义的内存规避技术，我称之为 ShellGhost。这项技术源于对 一段从进程开始到结束执行‘不可见’ shellcode 的代码 的需求。 处理线程执行流 ShellGhost 依赖于向量异常处理与软件断点的结合 ，以循环方式停止线程执行，用 RC4 加密的 shellcode 指令替换已执行的断点，解密指令，并在恢复内存保护至 RX 后恢复执行。当后续的...

MsfMania

MsfMania MsfMania 是一款基于 Python 的高级 Payload 混淆框架，旨在规避 Windows 系统上的 EDR/AV 检测。它通过动态代码生成、多层加密（RC4）以及二进制元数据伪造，生成高度多态的可执行文件。 ⚠️ 仅限教育用途 —— 本工具仅适用于授权的安全测试与研究。 目录 截图 功能特性 环境要求 安装 使用方法 基本帮助 完整示例 免责声明 许可证 截图 功能特性 多态 C 桩代码，支持变量/函数名混淆 本地内存注入（RWX） 使用 4 表 S-box 的 RC4 变体，修改的 KSA/PRGA 算法，可配置密钥长度（1-3 字节） 基于 djb2...

Mistica

Mística --- Mística 标志由 JoelGMSec 设计 Mística 是一款工具，能够将数据嵌入应用层协议字段中，旨在建立双向通道以实现任意通信。目前，已实现了对 HTTP、HTTPS、DNS 和 ICMP 协议的封装，预计未来还将引入更多协议。 Mística 采用模块化设计，围绕一种自定义传输协议构建，称为 SOTP：简单覆盖传输协议（Simple Overlay Transport Protocol）。数据经过加密、分块后放入 SOTP 数据包中。SOTP 数据包经过编码后嵌入到应用协议的指定字段中，并发送到另一端。 SOTP...

EmbedInHTML

将任意文件嵌入并隐藏到HTML中 作者: Arno0x0x - @Arno0x0x 该工具的作用是获取一个文件（ 任何类型的文件 ），对其进行加密，并将其作为资源嵌入到HTML文件中，同时包含一个自动下载程序，模拟用户点击嵌入的资源。 然后，当用户浏览该HTML文件时，嵌入的文件会即时解密，保存到临时文件夹中，并呈现给用户，如同从远程站点下载一样。根据用户的浏览器和呈现的文件类型，文件可能由浏览器自动打开。 该工具有两种形态，提供相同的整体功能，但在使用方式上略有不同： 1. 一个Python脚本 ，基于模板生成输出HTML文件，使用RC4加密...

demiguise

Demiguise - HTA encryption tool Released as open source by NCC Group Plc - http://www.nccgroup.trust/ Developed by Richard Warren, richard dot warren at nccgroup dot trust http://www.github.com/nccgroup/demiguise Released under AGPL, see LICENSE for more information What does it do? The aim of th...

demiguise

Demiguise - HTA 加密工具 由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.trust/ 由 Richard Warren 开发, richard dot warren at nccgroup dot trust http://www.github.com/nccgroup/demiguise 基于 AGPL 发布，详见 LICENSE 文件 它的作用是什么？ 该项目的目标是生成.html文件，这些文件 包含一个加密的 HTA 文件 。其思路是，当目标访问页面时，获取密钥，并在浏览器中动态解密...

SharpShooter

root@kitploit: / // / / // / / / \ / / / / \ / / / / / / / / / / / / // / / / // // / / / / // / // / // / / /// //,// / ./// /////// // 描述 SharpShooter 是一个用于检索和执行任意 CSharp 源代码的有效载荷生成框架。 SharpShooter 能够创建多种格式的有效载荷，包括 HTA、JS、VBS 和 WSF。它利用 James Forshaw 的 DotNetToJavaScript 工具来调用...

Cronos

Cronos Este proyecto fue coautoría de Descripción PoC de una nueva técnica de ofuscación de suspensión basada en Ekko que aprovecha los temporizadores con espera para cifrar el proceso actual con RC4 y cambiar los permisos de RW a RX para evadir los escáneres de memoria. Una explicación más...

Christmas

Maldev Academy Inicio de Maldev Academy Temario de Maldev Academy Christmas Implementando un método de inyección mencionado por @Hexacorn. Este PoC crea múltiples procesos, donde cada proceso realiza una tarea específica como parte de la operación de inyección. Cada proceso hijo creará otro proce...

ThunderShell

ThunderShell ThunderShell 是一个通过 HTTP 请求进行通信的 C RAT。所有网络流量都使用第二层 RC4 加密，以避免 SSL 拦截并绕过目标系统上的网络检测。RC4 是一种弱密码，用于帮助混淆流量。应使用 HTTPS 选项以提供完整性和强加密。 关于如何使用该工具及其支持功能的信息，请参阅 Wiki。 当前测试版 当前版本为 3.1.2 致谢 Mr.Un1k0d3r @MrUn1k0d3r Tazz0 @Tazz019 RingZer0 Team 2017...

Ivy

此仓库已归档 要查看 Ivy 的最新版本或提交问题，请参考 https://github.com/Tylous/Ivy。 更多信息 如果您想了解更多关于此框架使用的技术以及防御措施，请查看文章. 描述 Ivy 是一个载荷创建框架，用于在内存中执行任意 VBA（宏）源代码。Ivy 的加载器通过滥用 VBA 对象环境中的程序化访问来加载、解密和执行 shellcode。这种技术尽可能地接近真正的无文件攻击，因为如今大多数无文件攻击都需要在磁盘上放置某种文件，从而绕过了基于签名的 VBA 代码检测规则。典型的 VBA 载荷具有以下特征： 存在于启用宏的 Office 文档中 这些宏文档存在于磁...

cart

CaRT Compressed and RC4 Transport El formato de archivo CaRT se utiliza para almacenar/transferir malware y sus metadatos asociados. Neutraliza el malware para que no pueda ejecutarse y lo cifra para que el software antivirus no pueda marcar el archivo CaRT como malware. Ventajas RÁPIDO: CaRT es...

EmbedPayloadInPng

EmbedPayloadInPng Embed a payload within a PNG file by splitting the payload across multiple IDAT sections. Each section is encrypted individually using its own 16-byte key with the RC4 encryption algorithm. Quick Links Maldev Academy Home Maldev Academy Syllabus Maldev Academy Pricing...

Malicious code in webautomation_js (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 854e679284d7396f5ac4f7248839fa3704a2c72bcec08c100267b5980cd2a0d5 index.js is packed with an obfuscator.io RC4 string-array plus self-defending debugger-check wrapper. The only exported function appends a...

CVE-2026-22093

The EVbee Service Android app uses TLS encrypted communication HTTPS, but does not validate the certificate provided by the server. This allows an attacker on the network path between the app and EVbee server to intercept and manipulate the communication between the app and server. The traffic is...

CVE-2026-22093 Adversary-in-the-Middle (AitM) attack vulnerability in EVbee Service app

The EVbee Service Android app uses TLS encrypted communication HTTPS, but does not validate the certificate provided by the server. This allows an attacker on the network path between the app and EVbee server to intercept and manipulate the communication between the app and server. The traffic is...

CVE-2026-22093

CVE-2026-22093 affects EVbee Service app (v1.4.101.00). The issue arises because the Android app performs TLS/HTTPS communication but does not validate the server certificate, enabling a man‑in‑the‑middle attacker on the network path to intercept and manipulate traffic. Additionally, the app is d...

FTP Fetch, Reverse TCP Stager (RC4 Stage Encryption, Metasm)

Fetch and execute an x86 payload from an FTP server. Connect back to the attacker Module Options This module requires Metasploit: https://metasploit.com/download Current source: https://github.com/rapid7/metasploit-framework module MetasploitModule include Msf::Payload::Adapter::Fetch::FTP includ...

FTP Fetch, Windows x64 Command Shell, Bind TCP Stager (RC4 Stage Encryption, Metasm)

Fetch and execute an x64 payload from an FTP server. Spawn a piped command shell Windows x64 staged. Connect back to the attacker Module Options...

FTP Fetch, Windows Upload/Execute, Bind TCP Stager (RC4 Stage Encryption, Metasm)

Fetch and execute an x86 payload from an FTP server. Uploads an executable and runs it staged. Listen for a connection Module Options This module requires Metasploit: https://metasploit.com/download Current source: https://github.com/rapid7/metasploit-framework module MetasploitModule include...