Cooolis-ms

Cooolis-ms Wiki 설명 Cooolis-ms는 Metasploit Payload Loader, Cobalt Strike External C2 Loader, Reflective DLL injection을 포함하는 코드 실행 도구입니다. 정적 탐지에서 실행하려는 특징적인 코드를 일부 회피하여, 레드 팀 구성원이 웹 컨테이너 환경에서 C2 환경으로 더 편리하고 빠르게 전환하여 작업을 진행할 수 있도록 돕는 데 목적이 있습니다. 어떻게 다운로드하나요? Github에서 직접 저장소를 클론하여 소스 코드를 얻을 수 있습니다: g...

sRDI

sRDI - 셸코드 반사 DLL 인젝션 sRDI는 DLL 파일을 위치 독립적 셸코드로 변환할 수 있게 해줍니다. 적절한 섹션 권한, TLS 콜백, 무결성 검사를 지원하는 완전한 기능의 PE 로더가 되도록 설계되었습니다. 압축된 DLL에 셸코드 PE 로더를 붙인 것으로 생각할 수 있습니다. 기능은 두 가지 구성 요소를 통해 구현됩니다: PE 로더 구현RDI을 셸코드로 컴파일하는 C 프로젝트 DLL, RDI 및 사용자 데이터를 부트스트랩과 함께 결합하는 변환 코드 이 프로젝트는 다음 요소로 구성됩니다: ShellcodeRDI: D...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

CustomC2ChannelTemplate

用于自定义C2通道的IAT钩子 这是一个简单的概念验证和模板，用于开发Cobalt Strike的自定义C2通道，通过反射加载器应用IAT钩子。 博客文章：https://codex-7.gitbook.io/codexs-terminal-window/red-team/cobalt-strike/building-custom-c2-channels-by-hooking-wininet TCP通道的演示动图 使用方法 customCallback.h、hook.c、hash.h和hook.h文件是粗略的模板，但它们可以放入Crystal...

meowEye

🐾 MeowEye MeowEye 是一款针对多种 Web 漏洞的实时扫描工具。它使用真实浏览器观察流量，并通过注入式测试来检测反射型参数、本地文件包含 LFI 和服务器端模板注入 SSTI 漏洞（目前支持）。在待办列表中，将加入更多漏洞类型。 🐾 为什么是 MeowEye？ 我有一只猫叫 Koko ——她美得不可方物，但说实话……她整天除了喵喵叫、嘶嘶叫、吃饭、睡觉，以及……嗯……💩，什么也不做。 但她的眼睛 ？能捕捉到一切。 她的耳朵 ？比军用雷达还灵敏。 她的柔韧性 ？让我感觉自己像 80 岁老人。 所以我打造了 MeowEye ，希望它能有 Koko 的 1%...

BokuLoader

BokuLoader : Cobalt Strike 반사 로더 Cobalt Strike의 회피 기능을 재현, 통합 및 향상시키는 것을 목표로 하는 개념 증명 사용자 정의 반사 로더 UDRL입니다! 기여자: 기여자| 트위터| 주요 기여 ---|---|--- Bobby Cooke| @0xBoku| 프로젝트 원작자 및 유지보수자 Santiago Pecin| @s4ntiagop| 반사 로더 주요 개선 Chris Spehn| @ConsciousHacker| 어그레서 스크립팅 Joshua Magri| @passthehashbrwn| IAT ...

CustomLoadImage

CustomLoadImage CustomLoadImage 는 .NET 어셈블리의 은밀한 리플렉티브 로딩을 가능하게 합니다. 이는 AssemblyNative::LoadFromBuffer 를 직접 호출하여 RuntimeAssembly.nLoadImage 에 설치된 후크가 실행되지 않도록 합니다. 이 프로젝트가 도움이 되셨다면 스타를 눌러주세요...

zig-pe

zig-pe Zig로 작성된 반사형 PE 로더입니다. 네이티브 및 .NET PE 파일을 메모리에서 직접 로드하고 실행합니다. 기능 PE 로딩 파이프라인 DOS 및 NT 헤더 파싱 런타임에 PE32 및 PE32+ 할당된 메모리에 섹션 매핑 임포트 해석 이름 및 순서, PE32 4바이트 / PE32+ 8바이트 썽크 베이스 재배치 적용 HIGHLOW, DIR64, ARMMOV32, THUMBMOV32 지연 임포트 해석 DataDirectory13, 최신 RVA 형식 예외 처리기 등록 RtlAddFunctionTable,...

amber

소개 Amber는 기본 PE 파일EXE, DLL, SYS...의 메모리 내 실행을 가능하게 하는 위치 독립적리플렉티브 PE 로더입니다. 안티바이러스, 방화벽, IDS, IPS 제품 및 애플리케이션 허용 목록 완화를 우회하는 데 사용할 수 있는 은밀한 메모리 내 페이로드 배포를 가능하게 합니다. Amber로 생성된 리플렉티브 페이로드는 원격 서버에서 스테이징하거나 일반 셸코드처럼 메모리에서 직접 실행할 수 있습니다. 기본적으로 생성된 모든 페이로드는 차세대 SGN 인코더를 사용하여 인코딩됩니다. Amber는 CRC32API와...

zombieant

Zombie Ant Farm: Linux EDR과 숨바꼭질을 위한 키트 Version 0.5-alpha 왜? 모놀리식 공격 도구만으로는 부족하기 때문이며, 자신만의 공격 전략과 도구를 개발하는 것은 재미있기 때문입니다. 무엇인가? 공격적 프리로딩 기본 요소 및 구성 블록 분산 페이로드 저장 및 전달 서비스 인메모리 페이로드 전달 도우미 ASLR 약화 심shims 반사적으로 회피하는 기술 구성 요소 ZAF 프리로더 ZAF 회피 기본 요소 ZAF 웨어하우스 서비스 인메모리 실행 및 프리로드 ASRL 약화 키트 자세한 내용은 Wik...

pupy

Pupy Pupyは、オープンソースのクロスプラットフォーム Windows、Linux、OSX、Android な多機能RAT リモート管理ツール およびポストエクスプロイトツールで、主にPythonで書かれています。すべてインメモリで実行されるガイドラインを持ち、非常に低いフットプリントを残します。Pupyは、さまざまなトランスポートを使用して通信し、プロセスへの移行（リフレクティブインジェクション）、リモートPythonコード、Pythonパッケージ、Python C拡張をメモリからロードできます。...

CrabLoader

CrabLoader 完全にRustで記述されたCobalt Strikeのユーザー定義リフレクティブローダーです。これを構築するのがどの程度難しいか知りたかっただけです。それほど難しくないことがわかりました。いつかスリープ難読化機能を追加するかもしれません。現時点では、特別な機能のない基本的なローダーです。唯一の「opsec安全性」機能は、どの時点でもRWXページを使用しないことです。 使用方法 リリースをダウンロードして、.cna ファイルを読み込んでください。 自分でコンパイルすることもできます。MSVCツールチェーンとリリースプロファイルを使用してください。含まれている...

KodeExplorer 4.51 - Reflective Cross Site Scripting (XSS)

Reflective Cross Site Scripting XSS vulnerability in KodExplorer version 4.51, allows attackers to obtain sensitive information and escalate privileges via the APPHOST parameter at config/i18n/en/main.php. id: CVE-2023-49489 info: name: KodeExplorer 4.51 - Reflective Cross Site Scripting XSS...

Astral_Projection

Astral Projection - UDRL Astral Projection은 고급 모듈 스톰핑module stomping을 수행하는 Cobalt Strike UDRLUser-Defined Reflective Loader입니다. 이 UDRL은 LoadLibraryExW를 사용하여 모듈을 로드한 후, VEH를 설정하여 전략적인 호출을 가로챕니다. 이를 통해 희생 DLL의 섹션 핸들을 탈취하고 접근 권한을 상향 조정하여 나중에 슬립 마스크에서 사용할 수 있도록 합니다. 슬립 중에는 PEB 항목을 유지한 상태로 모듈을 언맵unmap...

ExecuteAssembly

설명: ExecuteAssembly는 CS execute-assembly의 대안으로, C/C++로 제작되었으며 .NET 어셈블리를 로드/인젝션할 수 있습니다. 호스트spawnto 프로세스에 로드된 CLR 모듈/AppDomainManager를 재사용하고, 로더/.NET 어셈블리 PE DOS 헤더를 스톰핑stomping하며, .NET 관련 모듈을 언링크unlink하고, ETW+AMSI를 우회하며, NT 정적 시스템 콜x64을 통해 EDR 후크를 회피하고, superfasthash 해싱 알고리즘으로 API를 동적 해석하여 임포트를...

MemTracer

MemTracer MemTracer는 실시간 메모리 분석 기능을 제공하는 도구로, 디지털 포렌식 실무자가 메모리에 숨겨진 은밀한 공격 흔적을 발견하고 조사할 수 있게 해줍니다. MemTracer는 Python 언어로 구현되었으며, 리플렉티브하게 로드된 네이티브 .NET Framework 동적 연결 라이브러리DLL를 탐지하는 것을 목표로 합니다. 이는 다음과 같은 비정상적인 메모리 영역의 특성을 찾아서 수행됩니다: 각 메모리 영역의 메모리 페이지 플래그 상태. 특히, 가상 메모리 사용을 위해 메모리 페이지를 예약하는 데 사용되는...

Nemesis

Nemesis 내일 업데이트를 푸시하고, 라이선스를 변경하며, 데이터 스틸러에 대항하는 몇 가지 새로운 몬스터도 추가할 예정입니다. 악성 샘플에서 jlaive 포크들을 계속 보다가, 실제로 런타임에 분해할 만한 공개 도구가 없어서 짜증나서 만든 윈도우 도구입니다. 간단히 말해, 네이티브 레이어에서 CLR을 후킹하고, 리플렉티브 어셈블리 로드를 추적하며, PE를 메모리에서 직접 자동 덤프하는 .NET 프로세스 모니터입니다. 또한 원본 온디스크 바이너리와 비교하여 AMSI 및 ETW 무결성을 확인하고, clr.dll 문자열 패치 ...

pe-sieve

소개 PE-sieve 는 시스템에서 실행 중인 악성코드를 탐지하고, 추가 분석을 위해 잠재적으로 악의적인 자료를 수집하는 데 도움이 되는 도구입니다. 스캔된 프로세스 내에서 다양한 임플란트대체/주입된 PE, 셸코드, 후크 및 기타 메모리 패치를 인식하고 덤프합니다. 인라인 후크, 프로세스 할로잉, 프로세스 도펠갱잉, 리플렉티브 DLL 인젝션 등을 탐지합니다. PE-sieve는 한 번에 단일 프로세스 를 스캔하는 데 전념하는 경량 엔진 입니다. EXE 또는 DLL로 빌드할 수 있습니다. DLL 버전은 간단한 API를 제공하며 다...

pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

C2-Tool-Collection

Outflank - C2 도구 모음 이 저장소는 BOF 및 리플렉티브 DLL 로딩 기술을 통해 Cobalt Strike그리고 가능하면 다른 C2 프레임워크와 통합되는 도구 모음을 포함합니다. 이 도구들은 당사의 상용 OST 제품의 일부가 아니며, 우리가 많은 것을 빚지고 있는 커뮤니티에 기여하기 위한 목적으로 작성되었습니다. 현재 이 저장소에는 BOFBeacon Object Files 도구 섹션과 다른 도구익스플로잇, 리플렉티브 DLL 등 섹션이 포함되어 있습니다. 이 모든 도구는 팀원들에 의해 작성되었으며 레드 팀 임무에서...