HyperDbg

HyperDbg Debugger HyperDbg Debugger is an open-source, hypervisor-assisted debugger for Windows Linux support is currently under development! with support for both user-mode and kernel-mode native debugging. It is built for reverse engineering, fuzzing, and advanced system analysis using modern...

CVE-2024-38041

CVE-2024-38041 Kernel pointers copied to output user mode buffer with ioctl 0x22A014 in the appid.sys driver...

ring3-kit

ring3-kit Hides Process From Task Manager Using NT Hooking NtQuerySystemInformation. A simple Ring-3 user mode rootkit. How Hook the API function NtQuerySystemInformation with our own function that hides a process from task manager Hooked function gets called instead The DLL is injected into...

CVE-2026-43499-S25U

CVE-2026-43499 PoC for Galaxy S25 Ultra Device-specific proof of concept for CVE-2026-43499 on the Korean Samsung Galaxy S25 Ultra. Supported target root@kitploit: Model: SM-S938N Codename: pa3q Android: 16 / API 36 Build: S938NKSUACZF1 Display ID: BP4A.251205.006.S938NKSUACZF1 Fingerprint:...

DrSemu

Dr.Semu Dr.Semu runs executables in an isolated environment, monitors the behavior of a process, and based on Dr.Semu rules created by you or the community, detects if the process is malicious or not. The tool is in the early development stage whoami: @qazqaz With Dr.Semu you can create rules to...

TelemetrySourcerer

Telemetry Sourcerer Introduction Telemetry Sourcerer can enumerate and disable common sources of telemetry used by AV/EDR on Windows. Red teamers and security enthusiasts can use this tool in a lab environment to: Identify collection-based blind spots in the products they're up against. Determine...

GhostKatz

GhostKatz Extract LSASS credentials directly from physical memory by abusing signed vulnerable drivers with physical memory read primitives via MmMapIoSpace, bypassing traditional user-mode detection capabilities. This tool was developed in collaboration between Julian Peña and Eric Esquivel. Thi...

EDR-Freeze

EDR-Freeze 这是一个利用 WerFaultSecure 的软件漏洞来挂起 EDR 和反恶意软件进程的工具，无需使用 BYOVD（自带易受攻击驱动程序）攻击方法。 EDR-Freeze 在用户模式下运行，因此您无需安装任何额外的驱动程序。它可以在最新版本的 Windows 上运行。 实验是在项目创建时最新版本的 Windows 上进行的：Windows 11 24H2 命令行语法 EDR-Freeze.exe TargetPID SleepTime 示例：EDR-Freeze.exe 1234 10000 将目标冻结 10000 毫秒 链接 EDR-Freeze：让 EDR...

CVE-2025-7771

CVE-2025-7771 Exploit para invocar funciones arbitrarias del modo kernel desde el modo usuario abusando del controlador ThrottleStop. Demostración Referencias https://github.com/jonomango/superfetch https://securelist.com/av-killer-exploiting-throttlestop-sys/117026/...

winfsp

WinFsp · Windows ファイルシステムプロキシ WinFsp を使用すると、開発者は Windows カーネルプログラミングの知識がなくても、ユーザーモードプログラムとして独自のファイルシステム（つまり「Windows ドライブ」）を作成できます。これは Linux や他の UNIX 系コンピュータ向けの FUSE（ユーザー空間のファイルシステム）に似ています。 winfsp.dev...

ish

iSH iSHは、ユーザーモードのx86エミュレーションとシステムコールの翻訳を使用して、iOS上でLinuxシェルを実行するプロジェクトです。 プロジェクトの現状については、issueタブとコミットログを確認してください。 App Storeページ TestFlightベータ Discordサーバー ヘルプとチュートリアルのWiki ハッキング このプロジェクトにはgitサブモジュールがあります。--recurse-submodulesを使用してクローンするか、クローン後にgit submodule update --initを実行してください。...

acheron

概要 Acheron は、SysWhisper3 / FreshyCalls / RecycledGate に着想を得たライブラリで、ほとんどの機能が Go アセンブリで実装されています。 acheron パッケージを使用すると、Golang のトレードクラフトに間接システムコール機能を追加し、ユーザーモードフックや インストルメンテーションコールバック を利用して、ntdll.dll に戻らない異常なシステムコールを検出する AV/EDR をバイパスできます。 主な機能 依存関係なし Pure Go と Go アセンブリによる実装...

CVE-2026-20805-POC

CVE-2026-20805 PoC 针对微软 桌面窗口管理器 dwm.exe 信息泄露漏洞的概念验证。 📋 漏洞摘要 ID: CVE-2026-20805 产品: Microsoft Windows 组件: 桌面窗口管理器 dwm.exe CWE-ID: CWE-200 向未授权行为者暴露敏感信息 严重性 CVSS 3.1: 5.5 中危 攻击向量: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 已通过身份验证的本地攻击者可利用此漏洞泄露远程 ALPC 异步本地过程调用 端口的节区地址，构成用户模式内存泄露。 🚨 影响...

CVE-2026-50416-writeup-and-poc

CVE-2026-50416：桌面堆中多出的一个 QWORD 在 Windows 11 Insider 版本 10.0.28020.2149 上，Win32k 桌面堆的用户模式映射在偏移量 0x100 处暴露了一个原始的内核会话池指针。 这次读取本身小得几乎有些可笑： root@kitploit: ULONG64 leaked = ULONG64 desktopheap + 0x100; 在我的测试会话中，该读取返回： root@kitploit: 0xffffc600dcc00040...

WiseDelete

WiseDelfile 驱动封装器 一款轻量级 Windows 实用程序，可加载 WiseDelfile64.sys 内核驱动程序，执行所需的设备握手，并发出 IOCTL 请求，以删除通过标准 Windows API 无法删除的文件。 本项目演示了在加载驱动程序后，如何利用 CVE-2025-66680 从用户模式调用驱动程序的删除文件功能。 功能特性 在运行时加载和卸载 WiseDelfile64.sys。 自动执行所需的驱动握手。 发送驱动程序的删除 IOCTL 以移除文件。 支持使用 -folder 标志递归删除目录。 执行后清理临时驱动程序服务。 无 C 运行时依赖。 用法...

CVE-2011-1237

CVE-2011-1237 This is an old POC for CVE-2011-1237 on Windows 7 written in 2013. The vulnerability was discovered by Tarjei Mandt @kernelpool and explain in his paper Kernel Attacks through User-Mode Callbacks. Several things are hardcoded in this POC and it call the Null page which does not work...

DMA-ProcessDumper

DMA-ProcessDumper 使用 DMA 与 MemProcFS 通过 PCIe FPGA 设备在用户态转储目标进程的完整内存 构建 将 MemProcFS 中的 leechcore.h、vmmdll.h 和 vmm.lib 复制到 DMA-ProcessDumper 目录 使用 Visual Studio 编译 将 MemProcFS 中的 leechcore.dll、vmm.dll 和 FTD3XX.dll 复制到 DMA-ProcessDumper\x64 目录 用法 root@kitploit: DMA-ProcessDumper.exe target.exe 资源...

santa

Santa !NOTE As of 2025, Santa is no longer maintained by Google. We encourage existing users to migrate to an actively maintained fork of Santa, such as https://github.com/northpolesec/santa. Santa is a binary and file access authorization system for macOS. It consists of a system extension that...

sinter

Sinter Sinter is a 100% user-mode endpoint security agent for macOS 10.15 and above, written in Swift. Sinter uses the user-mode EndpointSecurity API to subscribe to and receive authorization callbacks from the macOS kernel, for a set of security-relevant event types. The current version of Sinte...

RefleXXion

Introduction RefleXXion is a utility designed to aid in bypassing user-mode hooks utilised by AV/EPP/EDR etc. In order to bypass the user-mode hooks, it first collects the syscall numbers of the NtOpenFile, NtCreateSection, NtOpenSection and NtMapViewOfSection found in the LdrpThunkSignature arra...