Astral_Projection

Astral Projection - UDRL Astral Projection 是一个 Cobalt Strike UDRL（用户定义反射加载器），它执行高级模块隐藏。 该 UDRL 使用 LoadLibraryExW 加载一个模块，然后通过设置 VEH 来拦截关键调用，从而操纵其内部结构，以便窃取牺牲 DLL 的节句柄并提升其访问权限，供后续在睡眠掩码中使用。在睡眠期间，它会取消映射模块，同时保持 PEB 条目不变，然后重新映射一个全新的模块，以避免睡眠期间出现任何 IOC。 该项目使用 Crystal Palace 构建。部分代码取自 Crystal-Kit 项目。...

LazyHook

概述 LazyHook 是一个隐蔽的 API 钩子框架，通过调用栈欺骗绕过主机入侵防御系统（HIPS） 。借助 CPU 级硬件断点和向量化异常处理，它可以执行任意代码，使其看似源自受信任的、经过 Microsoft 签名的模块——完全欺骗依赖调用栈检查和模块来源验证的行为分析引擎。 通过在受信任的 Microsoft 调用栈内执行恶意代码来规避行为分析 使用硬件断点 + VEH 劫持合法函数并伪造模块来源 问题：现代安全软件 主机入侵防御系统（HIPS）和行为分析引擎通过以下方式监控应用程序： 调用栈分析 ：跟踪 API 调用的来源和流程 模块来源验证 ：检查可疑行为是否源自受信任的模块...

Shellcode-Test-Harness

Shellcode 测试工具 一个轻量级的测试工具，旨在通过提供集成崩溃诊断和调试输出重定向的执行环境，加速 shellcode 的开发。 特性 通过模块踩踏执行 shellcode 使用 VEH 捕获崩溃：如果 shellcode 出错，它会在故障点打印寄存器转储、堆栈转储和代码转储。 实时调试输出：拦截 shellcode 输出并在控制台中显示。 内置十六进制转储工具：通过在调试输出前添加 "HEXDUMP:0xADDR:SIZE"，加载器将自动转储该内存范围。 DLL 发现：查找兼容的 DLL，可选择过滤掉那些没有足够大的 .text 节来容纳特定 payload 的 DLL。...

AMSI-patches-learned-till-now

迄今学到的AMSI补丁 我已经记录了我迄今学到的所有AMSI补丁 ❗ 我迄今的AMSI补丁学习。不属于我公司的资产！ 免责声明：此代码到目前为止并非旨在规避检测！仅为概念性方法！ 链接： 1. https://web.archive.org/web/20220718153535/https://pre.empt.dev/posts/maelstrom-etw-amsi/AntimalwareScanInterfaceAMSI 2. https://rastamouse.me/memory-patching-amsi-bypass/ 仍有待实现的内容： 1. 通过硬件断点 和VEH...

Vectored-Exception-Handling-Squared

Manejo de Excepciones Vectorizadas al Cuadrado Una Prueba de Concepto en Rust. Lee más en mi blog, toda la investigación original es de CrowdStrike, ¡esto es solo el POC de eso! A menos que esté ciego; no parece haber mucho por ahí POCs, etc. relacionado con el descubrimiento realizado por los...

EhTrace

EhTrace EhTrace （「エートレース」と発音）は、Windows向けの高性能バイナリトレーシング＆インストゥルメンテーションフレームワークです。ソースコード、バイナリの変更、従来のデバッグを必要とせずに、Windows実行ファイルの深いランタイム解析を可能にします。 概要 EhTraceは、WindowsのVectored Exception...

DetectWindowsCopyOnWriteForAPI

Windows 进程属性枚举工具，用于威胁狩猎 背景 这些工具的目的是枚举 Windows 进程的特征，以支持检测威胁行为体所使用的进程注入技术。 工具 d-cow - Windows 写时复制检测器，用于检测共享 Windows API（例如 EtwEventWrite）的内存补丁 d-criticalsections - 枚举 Windows 进程拥有的临界区数量 d-dr-registers - 枚举已设置调试寄存器（表示硬件断点）的进程 d-nonmodulecallstack - 枚举所有线程的调用栈及关联模块和函数 d-peb-dll-loadreason - 枚举 DLL...

[Full-disclosure] # a new bug in Olly

Hello full-disclosure! I've found a bug in Olly leading to crash SEH/VEH-based programs during tracing. an example-pack could be found at my web-site http://nezumi.org.ru/olly-bug-776.zip, it includes two SEH/VEH programs and requests XP or latter to run VEH, while SEH works everywhere. Load an...