OffensiveVBA

OffensiveVBA 为了准备一场关于VBS AV规避的直播/视频，我正在研究Office宏代码执行方法及规避技术。 列表越来越长，而我没有找到一个集中存放攻击性VBA模板的地方——因此这个仓库可以用于此目的。它还远未完成。如果你知道任何其他有用的技术或模板，欢迎贡献并创建拉取请求！ 本仓库中的大多数模板已在其他地方发布过。我只是从微软文档网站、博客文章或其他工具中复制粘贴了大部分模板。 本仓库中的模板 文件| 描述 ---|--- ShellApplicationShellExecute.vba| 通过ShellApplication对象和ShellExecute方法执行操作系统命...

wnfexec

Resumen WnfExec es una librería de prueba de concepto en C que inyecta shellcode en un proceso mediante el secuestro de un callback de suscripción WNF y luego desencadenando un cambio de estado. No hay nada novedoso aquí y fue construida basándose en la investigación de otros. Mi intención fue...

KittyStager

KittyStager KittyStager 是一个第 0 阶段 C2 系统，包含 API、客户端和恶意软件。API 负责提供基本任务以及由恶意软件注入内存的 shellcode。客户端也连接到 API，通过创建任务与恶意软件进行交互。KittyStager 的目标是在目标系统上部署一个简单的第 0 阶段载荷，并收集足够信息来针对特定目标调整载荷。由于第 0 阶段载荷旨在尽可能隐蔽，它不包含任何命令执行能力。 本项目仅供教育目的使用。我对本项目造成的任何损害概不负责。 特性 与植入物交互的简单 CLI API： 用于托管你的“小猫咪”的 Web 服务器 HTTPS /upload...

LiquidSnake

Liquid Snake Liquid Snake 是一个旨在对 Windows 系统进行横向移动而不接触磁盘的程序。 该工具依赖 WMI 事件订阅来在内存中执行 .NET 程序集，该 .NET 程序集将在命名管道上监听 shellcode，然后使用线程劫持 shellcode 注入的一个变种来执行它。 下面的图表（希望如此）阐明了数据流程： 致谢 MDSec - WMI Event Subscription - 该工具只是该博客文章中描述的概念的一个实现，代码也依赖于 Dominic 的 WMI 持久化 C PoC pwndizzle - thread-hijack.cs - 为 C...

threadfire

threadfire 该程序使用线程劫持技术向标准 Win32 应用程序注入原生 Shellcode。我制作此程序时年仅 15 岁——请忽略不规范的代码。 关于 我开发这个小项目是为了继续体验不同的代码注入方法，并让红队安全专业人员能够利用此方法作为一种独特的方式进行软件渗透测试。通过线程劫持，hijacker.exe 程序可以挂起 target.exe 程序中的一个线程，从而允许我们将 shellcode 写入该目标线程，并随后执行（通过 WriteProcessMemory、SetThreadContext、ResumeThread、CreateThread）。 示例 GIF 用法...

ShellGhost

ShellGhost 一种基于内存的规避技术，使 shellcode 从进程开始到结束均不可见。 动机 我想分享这个 shellcode 自注入 POC，以展示一些可能对红队有用的 AV/EDR 规避概念。就在几周前，我想出了一种自定义的内存规避技术，我称之为 ShellGhost。这项技术源于对 一段从进程开始到结束执行‘不可见’ shellcode 的代码 的需求。 处理线程执行流 ShellGhost 依赖于向量异常处理与软件断点的结合 ，以循环方式停止线程执行，用 RC4 加密的 shellcode 指令替换已执行的断点，解密指令，并在恢复内存保护至 RX 后恢复执行。当后续的...

the-backdoor-factory

BACKDOOR FACTORY 的新版本已可用！在此获取访问权限：https://github.com/sponsors/secretsquirrel 警告：Pull Requests 将被忽略并关闭。 The Backdoor Factory BDF 仅供安全专业人员和研究人员使用。 BDF 的目标是使用用户期望的 shellcode 修补可执行二进制文件，并在修补前的状态下继续正常执行。 Black Hat USA 2015： root@kitploit: 视频：https://www.youtube.com/watch?v=OuyLzkG16Uk...

ProcessStomping

ProcessStomping ProcessOverwriting 的一种变体，用于在可执行文件的节区上执行 shellcode 这是什么 更详细的解释请参阅我的博客文章 Process Stomping 是 hasherezade 的 Process Overwriting 的一种变体，其优势在于将 shellcode 载荷写入目标节区，而不是将整个 PE 载荷写入宿主进程的地址空间。 以下是 ProcessStomping 技术的主要步骤： 1. CreateProcess - 将进程创建标志设置为 CREATESUSPENDED 0x00000004 以挂起进程的主线程。 2...

GoPurple

GoPurple Este proyecto es una simple colección de diversas técnicas de inyección de shellcode, con el objetivo de agilizar el proceso de evaluación de detección en endpoints, además de desafiarme a mí mismo a adentrarme en el mundo de Golang. Instalación 1 - Requiere go instalado. 2 - Compila la...

Shellcode-Injection-Techniques

Shellcode 注入技术 一系列 C Shellcode 注入技术。所有技术均使用 AES 加密的 meterpreter 有效载荷。 随着我学习、发现或开发更多技术，我将持续完善这个项目。 注意： 该项目不旨在直接使用。如果你打算使用任何技术，创建一个更小、定制的项目（仅包含所选技术）将更有可能绕过杀毒软件。 如果你确实使用了这些仓库中的任何代码，请确保合法使用！ Assembly Injection 如果你希望避免将 .Net 二进制文件写入磁盘，可以使用 PowerShell 程序集注入技术。 Shellcode 运行器 ShellcodeRunner.cs...

unicorn

unicorn Written by: Dave Kennedy @HackingDave Website: https://www.trustedsec.com Magic Unicorn is a simple tool for using a PowerShell downgrade attack and inject shellcode straight into memory. Based on Matthew Graeber's powershell attacks and the powershell bypass technique presented by David...

unicorn

unicorn 作者：Dave Kennedy @HackingDave 网站：https://www.trustedsec.com Magic Unicorn 是一个简单工具，用于实施 PowerShell 降级攻击并将 shellcode 直接注入内存。基于 Matthew Graeber 的 PowerShell 攻击方法以及 David Kennedy（TrustedSec）和 Josh Kelly 在 Defcon 18 上展示的 PowerShell 绕过技术。 使用非常简单，只需运行 Magic Unicorn（确保已安装 Metasploit 且路径正确），Magic...

Shelltropy

Shelltropy 你越可预测，就越不容易被检测 一种基于Shannon编码的低熵隐藏恶意Shellcode的技术。 熵是衡量数据（此处：Shellcode）随机性的指标。熵越高，数据越随机。Shannon熵算法会返回0到8之间的结果，其中8表示数据中没有模式，因此非常随机；0表示数据遵循某种模式。 注意： 请参阅我的博客文章，了解更详细的研究说明以及一个简单的Vanilla Shellcode注入PoC。 安装 克隆此仓库： git clone https://github.com/kleiton0x00/Shelltropy.git 对于编码器： 创建一个新的Visual...

js-driveby-download-CVE-2006-4777

js-driveby-download-CVE-2006-4777 利用互联网浏览器6.0 SP1在Windows XP SP2上的漏洞的客户端恶意软件。 不需要用户同意，也不下载任何文件。 在Windows XP上通过IE的JavaScript在RAM中注入Shell代码。 无文件、驱动下载、客户端恶意软件。...

MalDev

MalDev 嘿！欢迎来到我的仓库 : 我是Captain Magma，一个热衷于网络安全、恶意软件开发和分析的爱好者。 这个仓库的用途是管理我的恶意软件开发学习路径，我会随着学习进度更新笔记和代码。 我不是任何技术的原创作者，这里只是我对它们的实现。 !重要 我想澄清一下，我 绝对不是 专家，最多算个新手。所以请不要期待这个仓库会出现什么APT级别的恶意软件。 另外，这个仓库仅供教育目的使用。用这些代码不仅会让你立刻被抓，而且未经许可 对不属于你的系统这样做是违法的。 当前项目与进度 截至目前，这是一个不断增长的仓库，因此所有代码都会频繁更新以确保正常运行。...

p3-loader

P³-Shellcode Loader - 进程参数投毒 作者：Max Hirschberger & Ogulcan Ugur 目录 1. 引言 2. 典型的进程注入及相关系统API 3. 所需Windows内部机制的技术基础 3.1 进程创建API与启动参数 3.2 进程环境块（PEB） 4. 进程参数投毒（P³） 4.1 使用投毒参数启动进程 4.2 在新进程中定位注入的数据 4.3 执行注入的代码 4.4 已实现的有效载荷注入 5. 在字符串中传递任意Shellcode 5.1 Shellcode生成器使用的底层辅助方法 5.2 高级操作的实现 6. 该技术避免检测的优势 7...

DbgNexum

DbgNexum - Shellcode 注入 DbgNexum 是一个概念验证程序，利用 Windows 调试 API 和共享内存（文件映射）注入 shellcode。它避免直接写入和读取远程内存，而是通过上下文操作强制目标进程自行加载和执行有效负载。 概述 该注入器附加到目标进程并创建一个挂起的线程。通过调试循环，它设置一个硬件断点，在特定的返回地址处捕获执行。每次捕获时，注入器修改 CPU 寄存器以模拟函数调用，在目标进程内部编排一系列 Windows API 函数调用。 在编写本 README 时，我针对 MDE 和 Elastic 测试了该技术，两者均未检测到它。 主要特性...

InfectPE

使用此工具，你可以将x-code/shellcode注入PE文件。InjectPE仅适用于32位可执行文件。 为什么需要InjectPE？ 你可以测试你的安全产品。 用于钓鱼活动。 学习PE注入的工作原理。 ……等等。 项目中硬编码了MessageBoxA的x-code，你可以更改它。 下载 Windows x86二进制文件 - 硬编码的MessageBoxA x-code，仅用于演示。 依赖项： vcredist.x86 - Microsoft Visual C++ Redistributable 用法 root@kitploit: .\InfectPE.exe .\input.exe...

TeamsImplant

TeamsImplant 该项目是一个隐蔽的 Teams 植入程序，它代理了 Teams 所使用的 urlmon.dll。将该植入程序编译后作为 urlmon.dll 放入 Teams 目录，每当用户运行 Teams 或系统启动时，你便拥有了一个持久化后门。 功能： 使用互斥体，避免当 Teams 创建 10 个不同进程并将代理 DLL 加载到每个进程时，产生 10 个 shell 的泛滥。 执行 DLL 解除挂钩，从而可以毫无顾虑地调用正常的 shellcode 注入函数。 对 shellcode 采用 AES 加密，以便在植入程序中嵌入 shellcode 而不被检测到。 使用...

SharpImpersonation

SharpImpersonation Este fue un proyecto de aprendizaje práctico de mi parte. Se utilizan técnicas bien conocidas para construir solo otra herramienta de suplantación con algunas mejoras en comparación con otras herramientas públicas. La base de código se tomó de:...