GhostKatz

GhostKatz 脆弱な署名済みドライバーを悪用し、MmMapIoSpace を介した物理メモリ読み取りプリミティブを使用して、LSASS の資格情報を物理メモリから直接抽出します。従来のユーザーモード検出機能をバイパスします。 このツールは Julian Peña と Eric Esquivel の協力により開発されました。 このリリースの GhostKatz は、既に公開された脆弱性のあるドライバーを使用しています。最良の結果を得るには、GhostKatz...

EDR-Freeze

EDR-Freeze 这是一个利用 WerFaultSecure 的软件漏洞来挂起 EDR 和反恶意软件进程的工具，无需使用 BYOVD（自带易受攻击驱动程序）攻击方法。 EDR-Freeze 在用户模式下运行，因此您无需安装任何额外的驱动程序。它可以在最新版本的 Windows 上运行。 实验是在项目创建时最新版本的 Windows 上进行的：Windows 11 24H2 命令行语法 EDR-Freeze.exe TargetPID SleepTime 示例：EDR-Freeze.exe 1234 10000 将目标冻结 10000 毫秒 链接 EDR-Freeze：让 EDR...

CVE-2025-7771

CVE-2025-7771 Exploit para invocar funciones arbitrarias del modo kernel desde el modo usuario abusando del controlador ThrottleStop. Demostración Referencias https://github.com/jonomango/superfetch https://securelist.com/av-killer-exploiting-throttlestop-sys/117026/...

HyperDbg

HyperDbg Debugger HyperDbg Debugger は、Windows 向けのオープンソースのハイパーバイザ支援型デバッガです（Linux 対応は現在開発中です！）。ユーザーモードとカーネルモード（ネイティブ）の両方のデバッグをサポートしています。リバースエンジニアリング、ファジング、そして最新のハードウェア仮想化とトレーシング機能を活用した高度なシステム解析のために作られています。 HyperDbg の新リリースに関する通知を受け取るには、Twitter または Mastodon をフォローしてください。また、HyperDbg...

winfsp

WinFsp · Windows ファイルシステムプロキシ WinFsp を使用すると、開発者は Windows カーネルプログラミングの知識がなくても、ユーザーモードプログラムとして独自のファイルシステム（つまり「Windows ドライブ」）を作成できます。これは Linux や他の UNIX 系コンピュータ向けの FUSE（ユーザー空間のファイルシステム）に似ています。 winfsp.dev...

CVE-2026-43499-S25U

CVE-2026-43499 Galaxy S25 Ultra向けPoC 韓国Samsung Galaxy S25 Ultra向けのCVE-2026-43499のデバイス固有のProof of Conceptです。 サポート対象 root@kitploit: Model: SM-S938N Codename: pa3q Android: 16 / API 36 Build: S938NKSUACZF1 Display ID: BP4A.251205.006.S938NKSUACZF1 Fingerprint:...

ish

iSH iSHは、ユーザーモードのx86エミュレーションとシステムコールの翻訳を使用して、iOS上でLinuxシェルを実行するプロジェクトです。 プロジェクトの現状については、issueタブとコミットログを確認してください。 App Storeページ TestFlightベータ Discordサーバー ヘルプとチュートリアルのWiki ハッキング このプロジェクトにはgitサブモジュールがあります。--recurse-submodulesを使用してクローンするか、クローン後にgit submodule update --initを実行してください。...

acheron

概要 Acheron は、SysWhisper3 / FreshyCalls / RecycledGate に着想を得たライブラリで、ほとんどの機能が Go アセンブリで実装されています。 acheron パッケージを使用すると、Golang のトレードクラフトに間接システムコール機能を追加し、ユーザーモードフックや インストルメンテーションコールバック を利用して、ntdll.dll に戻らない異常なシステムコールを検出する AV/EDR をバイパスできます。 主な機能 依存関係なし Pure Go と Go アセンブリによる実装...

CVE-2024-38041

CVE-2024-38041 appid.sys ドライバ内の ioctl 0x22A014 により、カーネルポインタが出力ユーザモードバッファにコピーされました。...

CVE-2026-20805-POC

CVE-2026-20805 PoC 针对微软 桌面窗口管理器 dwm.exe 信息泄露漏洞的概念验证。 📋 漏洞摘要 ID: CVE-2026-20805 产品: Microsoft Windows 组件: 桌面窗口管理器 dwm.exe CWE-ID: CWE-200 向未授权行为者暴露敏感信息 严重性 CVSS 3.1: 5.5 中危 攻击向量: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 已通过身份验证的本地攻击者可利用此漏洞泄露远程 ALPC 异步本地过程调用 端口的节区地址，构成用户模式内存泄露。 🚨 影响...

TelemetrySourcerer

Telemetry Sourcerer はじめに Telemetry Sourcerer は、Windows の AV/EDR で使用される一般的なテレメトリソースを列挙および無効化できます。 レッドチームやセキュリティ愛好家は、このツールをラボ環境で使用して、以下のことができます： 対象製品における収集ベースのブラインドスポットを特定する。 特定の種類のイベントを生成するテレメトリソースを特定する。 ツールの改ざん機能を使用することで検出につながるかどうかを検証する。 プライベートラボの構築の詳細については、EDRテレメトリをプライベートインフラストラクチャに転送する...

ring3-kit

ring3-kit タスクマネージャからプロセスを隠蔽するためのNTフッキング（NtQuerySystemInformation）を利用した、シンプルなRing-3（ユーザーモード）ルートキット。 仕組み プロセスをタスクマネージャから隠蔽する独自の関数で、API関数NtQuerySystemInformationをフックする 代わりにフックされた関数が呼び出される DLLはTaskmgr.exeに注入され、フックされたコードを実行するための仮想メモリ空間が利用可能になる 免責事項 開発者であるJosh...

DrSemu

Dr.Semu Dr.Semu は、隔離された環境で実行ファイルを実行し、プロセスの動作を監視し、あなたやコミュニティが作成した Dr.Semu ルールに基づいて、そのプロセスが悪意があるかどうかを検出します。 このツールは初期開発段階です 作者: @qazqaz Dr.Semu を使用すると、プロセスの動的な動作に基づいてマルウェアを検出するルールを作成できます。 リダイレクトによる隔離 すべてはユーザーモードで行われます。Windows Projected File System ProjFS...

CVE-2026-50416-writeup-and-poc

CVE-2026-50416：桌面堆中多出的一个 QWORD 在 Windows 11 Insider 版本 10.0.28020.2149 上，Win32k 桌面堆的用户模式映射在偏移量 0x100 处暴露了一个原始的内核会话池指针。 这次读取本身小得几乎有些可笑： root@kitploit: ULONG64 leaked = ULONG64 desktopheap + 0x100; 在我的测试会话中，该读取返回： root@kitploit: 0xffffc600dcc00040...

WiseDelete

WiseDelfile 驱动封装器 一款轻量级 Windows 实用程序，可加载 WiseDelfile64.sys 内核驱动程序，执行所需的设备握手，并发出 IOCTL 请求，以删除通过标准 Windows API 无法删除的文件。 本项目演示了在加载驱动程序后，如何利用 CVE-2025-66680 从用户模式调用驱动程序的删除文件功能。 功能特性 在运行时加载和卸载 WiseDelfile64.sys。 自动执行所需的驱动握手。 发送驱动程序的删除 IOCTL 以移除文件。 支持使用 -folder 标志递归删除目录。 执行后清理临时驱动程序服务。 无 C 运行时依赖。 用法...

CVE-2011-1237

CVE-2011-1237 これは、2013年に作成されたWindows 7向けのCVE-2011-1237の古いPOCです。 この脆弱性はTarjei Mandt（@kernelpool）によって発見され、彼の論文 Kernel Attacks through User-Mode Callbacks で説明されています。 このPOCではいくつかの値がハードコードされており、Nullページを呼び出しますが、これはもはや機能しません。このエクスプロイトについては、私の講演 A Look into the Windows Kernel で説明しています。...

DMA-ProcessDumper

DMA-ProcessDumper 使用 DMA 与 MemProcFS 通过 PCIe FPGA 设备在用户态转储目标进程的完整内存 构建 将 MemProcFS 中的 leechcore.h、vmmdll.h 和 vmm.lib 复制到 DMA-ProcessDumper 目录 使用 Visual Studio 编译 将 MemProcFS 中的 leechcore.dll、vmm.dll 和 FTD3XX.dll 复制到 DMA-ProcessDumper\x64 目录 用法 root@kitploit: DMA-ProcessDumper.exe target.exe 资源...

santa

Santa !NOTE As of 2025, Santa is no longer maintained by Google. We encourage existing users to migrate to an actively maintained fork of Santa, such as https://github.com/northpolesec/santa. Santa is a binary and file access authorization system for macOS. It consists of a system extension that...

sinter

Sinter Sinterは、macOS 10.15以降向けの100%ユーザーモードのエンドポイントセキュリティエージェントで、Swiftで記述されています。 Sinterは、ユーザーモードのEndpointSecurity APIを使用して、セキュリティ関連のイベントタイプセットについて、macOSカーネルからの認可コールバックを購読および受信します。現在のバージョンでは、プロセス実行の許可/拒否をサポートしています。将来のバージョンでは、ファイル、ソケット、カーネルイベントなどの他のタイプのイベントもサポートする予定です。 Sinterは開発中です。...

RefleXXion

はじめに RefleXXionは、AV/EPP/EDRなどで利用されるユーザーモードフックをバイパスするためのユーティリティです。ユーザーモードフックをバイパスするために、まずLdrpThunkSignature配列内のNtOpenFile、NtCreateSection、NtOpenSection、NtMapViewOfSectionのシステムコール番号を収集します。その後、ユーザーモードフックをバイパスするために2つのテクニックから選択できます。...