Vectored-Exception-Handling-Squared

Vectored Exception Handling Squared 一个 Rust 概念验证项目。更多内容请阅读我的博客，所有原创研究来自 CrowdStrike，这里只是它的 POC！ 除非我眼花了；目前似乎没有太多与 CrowdStrike 研究人员的发现相关的资料（如 POC 等）， 该发现被称为 Vectored Exception Handling Squared，即 VEH²。不过我想说，我确实觉得 CrowdStrike 发布这项研究非常酷——我希望看到更多这样的研究！我个人的信条是：进攻带来更好、更深入的防御。 下面是一张用于说明原理的示意图：...

LazyHook

概述 LazyHook 是一个隐蔽的 API 钩子框架，通过调用栈欺骗绕过主机入侵防御系统（HIPS） 。借助 CPU 级硬件断点和向量化异常处理，它可以执行任意代码，使其看似源自受信任的、经过 Microsoft 签名的模块——完全欺骗依赖调用栈检查和模块来源验证的行为分析引擎。 通过在受信任的 Microsoft 调用栈内执行恶意代码来规避行为分析 使用硬件断点 + VEH 劫持合法函数并伪造模块来源 问题：现代安全软件 主机入侵防御系统（HIPS）和行为分析引擎通过以下方式监控应用程序： 调用栈分析 ：跟踪 API 调用的来源和流程 模块来源验证 ：检查可疑行为是否源自受信任的模块...

Shellcode-Test-Harness

Shellcode 测试工具 一个轻量级的测试工具，旨在通过提供集成崩溃诊断和调试输出重定向的执行环境，加速 shellcode 的开发。 特性 通过模块踩踏执行 shellcode 使用 VEH 捕获崩溃：如果 shellcode 出错，它会在故障点打印寄存器转储、堆栈转储和代码转储。 实时调试输出：拦截 shellcode 输出并在控制台中显示。 内置十六进制转储工具：通过在调试输出前添加 "HEXDUMP:0xADDR:SIZE"，加载器将自动转储该内存范围。 DLL 发现：查找兼容的 DLL，可选择过滤掉那些没有足够大的 .text 节来容纳特定 payload 的 DLL。...

EhTrace

EhTrace EhTrace （「エートレース」と発音）は、Windows向けの高性能バイナリトレーシング＆インストゥルメンテーションフレームワークです。ソースコード、バイナリの変更、従来のデバッグを必要とせずに、Windows実行ファイルの深いランタイム解析を可能にします。 概要 EhTraceは、WindowsのVectored Exception...

Astral_Projection

Astral Projection - UDRL Astral Projectionは、Cobalt StrikeのUDRL（ユーザー定義リフレクティブローダー）であり、高度なモジュールストンピングを実行します。...

AMSI-patches-learned-till-now

迄今学到的AMSI补丁 我已经记录了我迄今学到的所有AMSI补丁 ❗ 我迄今的AMSI补丁学习。不属于我公司的资产！ 免责声明：此代码到目前为止并非旨在规避检测！仅为概念性方法！ 链接： 1. https://web.archive.org/web/20220718153535/https://pre.empt.dev/posts/maelstrom-etw-amsi/AntimalwareScanInterfaceAMSI 2. https://rastamouse.me/memory-patching-amsi-bypass/ 仍有待实现的内容： 1. 通过硬件断点 和VEH...

[Full-disclosure] # a new bug in Olly

Hello full-disclosure! I've found a bug in Olly leading to crash SEH/VEH-based programs during tracing. an example-pack could be found at my web-site http://nezumi.org.ru/olly-bug-776.zip, it includes two SEH/VEH programs and requests XP or latter to run VEH, while SEH works everywhere. Load an...