NimicStack

NimicStack NimicStack es la implementación pura en Nim de la técnica de Call Stack Spoofing para imitar programas legítimos. Todo el proyecto se basa en la PoC compartida por WithSecure Labs Compilación Puedes compilar directamente el código fuente con el siguiente comando: nim c -d=mingw...

Invoke-TheHash

Invoke-TheHash Invoke-TheHash 包含用于执行哈希传递 WMI 和 SMB 任务的 PowerShell 函数。WMI 和 SMB 连接通过 .NET TCPClient 建立。认证通过将 NTLM 哈希传递给 NTLMv2 认证协议完成。客户端无需本地管理员权限。 要求 最低 PowerShell 2.0 导入 Import-Module ./Invoke-TheHash.psd1 或 . ./Invoke-WMIExec.ps1 . ./Invoke-SMBExec.ps1 . ./Invoke-SMBEnum.ps1...

Check-LocalAdminHash

Check-LocalAdminHash Check-LocalAdminHash 是一个 PowerShell 工具，它尝试通过 WMI 或 SMB 使用密码哈希向多个主机进行身份验证，以确定所提供的凭据是否为本地管理员。当你获取到某个用户的密码哈希，并想查看该用户在网络中的哪些主机上是本地管理员时，这个工具非常有用。它本质上是我最喜欢的两款工具与我自身部分代码的“弗兰肯斯坦”式结合。它利用 Kevin Robertson（@kevinrobertson）的 Invoke-TheHash 项目进行凭据检查部分。此外，该脚本还使用了 Will Schroeder（@harmj0y）和...

EDRUnChoker

EDRUnChoker 无文件WMI修复方案，用于EDRChoker，抵御QoS滥用（pacer.sys），该滥用将EDR代理的网络带宽限制到接近零。 在root\subscription中注册一个永久订阅（磁盘上无文件）。一个5秒定时器运行嵌入的VBScript，该脚本使用WbemContextPolicyStore枚举 ActiveStore和GPO:localhost 上的QoS策略——普通的WMI ExecQuery会遗漏由New-NetQosPolicy/EDRChoker创建的ActiveStore策略——并移除针对已知安全产品或激进速率（≤1 Mbps）的恶意应用路径限流。...

CIMplant

CIMplant CIMplant 是 WMImplant 的 C 移植版本，使用 CIM 或 WMI 查询远程系统。它可以使用提供的凭据或当前用户的会话。 注意：某些命令会结合 PowerShell 使用 WMI，在 --show-commands 命令中以 标记。 简介 CIMplant 是对 @christruncer 的 WMImplant 的 C 重写和扩展。它允许你收集远程系统的数据、执行命令、导出数据等。该工具支持使用 Windows Management Instrumentation（WMI）或 Common Interface Model（CIM）（更准确地说，是...

PowerLurk

PowerLurk PowerLurk 是一个用于构建恶意 WMI 事件订阅的 PowerShell 工具集。其目标是在渗透测试或红队行动期间更轻松地触发 WMI 事件。更多详细信息请参阅我的文章 利用 WMI 事件监控用户：PowerLurk 介绍 ：https://pentestarmoury.com/2016/07/13/151/ 要使用 PowerLurk，您需要将 PowerLurk.ps1 模块导入到您的 PowerShell 实例中。可以通过以下几种方式完成： 本地导入 PS powershell.exe -NoP -Exec ByPass -C Import-Module...

TChopper

TChopper 我最近发现了一项新技术，并给它取了个昵称（Chop chop），用于通过 Windows 服务的显示名称和 WMI 进行横向移动，方法是将恶意二进制文件以 base64 块的形式走私，并使用 TChopper 工具自动化该过程。 image 工作原理 该工具会获取你想要走私的文件，并将文件编码为 base64 放入内存流中 将每行的长度分割为 150-250 字符（250 是服务 lpDisplayname 参数允许的最大空间...

SharpStat

SharpStat C 实用工具，利用 WMI 执行 "cmd.exe /c netstat -n"，将输出保存到文件，然后通过 SMB 远程读取并删除该文件 描述 此脚本会尝试连接所有提供的计算机，并使用 WMI 执行 cmd.exe /c netstat -n 。输出保存到的文件由 '-file' 参数指定。一旦 netstat 命令运行，输出通过远程 SMB 调用读取，然后删除。 虽然这不是最隐蔽的脚本（因为涉及 cmd.exe 执行和保存文件），但有时你不得不这么做。另一种方法是使用 WMI 远程查询 netstat 信息，但该 WMI 类仅适用于 Win10+...

WMImplant

WMImplant WMImplant 是一款基于 PowerShell 的工具，利用 WMI 针对目标机器执行操作，同时将其作为 C2 通道来发送命令和接收结果。WMImplant 通常需要在目标机器上拥有本地管理员权限。 由 @christruncer 开发 WMImplant 功能： 元功能 root@kitploit: changeuser - 更改执行 WMI 命令的用户的上下文环境 exit - 退出 WMImplant gencli - 生成用于非交互式运行 WMImplant 的命令行命令 setdefault - 将目标系统的 WMI 属性恢复为其默认值 help -...

Persistence-Survivability

Valoración de persistencia y supervivencia Este proyecto utiliza la persistencia estilo Duqu como TTP y fue presentado en Bsides Augusta – RAT. Este proyecto está basado en PowerShell y puede utilizarse con credenciales o sin ellas. Para más información, lea el archivo .ps1. Uso básico:...

LiquidSnake

Liquid Snake Liquid Snake 是一个旨在对 Windows 系统进行横向移动而不接触磁盘的程序。 该工具依赖 WMI 事件订阅来在内存中执行 .NET 程序集，该 .NET 程序集将在命名管道上监听 shellcode，然后使用线程劫持 shellcode 注入的一个变种来执行它。 下面的图表（希望如此）阐明了数据流程： 致谢 MDSec - WMI Event Subscription - 该工具只是该博客文章中描述的概念的一个实现，代码也依赖于 Dominic 的 WMI 持久化 C PoC pwndizzle - thread-hijack.cs - 为 C...

SysmonConfigPusher2

SysmonConfigPusher v2 一款基于网页的工具，用于管理 Windows 端点上的 Sysmon 配置 —— 支持无代理（WMI/SMB）和基于代理的部署。 功能特性 功能| 描述 ---|--- 无代理部署| 通过 WMI 和 SMB 推送 Sysmon 二进制文件和配置 代理支持| 适用于云虚拟机和 DMZ 服务器的轻量级代理 Docker 支持| 在 Linux/Docker 上运行，仅用于代理部署 Web 界面| 现代 React UI，支持实时部署进度 事件日志查看器| 从远程主机查询 Sysmon 日志 噪声分析| 识别高容量事件以调整配置 计划部署|...

CVE-2020-1472

CVE-2020-1472 CVE 2020-1472 Script de validación Assumption: WinRM is enabled between domain controllers. Required permissions: root@kitploit: If child domains are present: Enterprise admin If single forest, single domain: Domain admin This script must be run on a primary domain controller with...

SharpStay

SharpStay - .NET 持久化 构建 打开 Visual Studio 项目并编译为发布版本。 选项 提权注册表项 提权 UserInit 注册表项 提权计划任务 提权创建服务 提权 WMI 事件订阅 非提权 InitMprLogonScript 注册表项 非提权计划任务 COM 处理程序劫持 非提权 Junction 文件夹 杂项：添加计划任务操作 杂项：启动目录 杂项：新建 LNK 杂项：后门 LNK 杂项：任务名称 杂项：列出计划任务 杂项：列出运行中的服务 杂项：获取计划任务 COM 处理程序 root@kitploit: Sharpstay.exe...

WMEye

WMEye WMEye 是一个实验性工具，是在探索 Windows WMI 时开发的。该工具旨在利用 WMI 和远程 MSBuild 执行实现横向移动。它将编码/加密的 shellcode 上传到远程目标的 WMI 类属性，创建一个事件筛选器，当触发时，通过名为 LogFileEventConsumer 的特殊 WMI 类写入基于 MSBuild 的有效负载，最后远程执行该有效负载。 使用场景 使用 WMI 进行无文件横向移动，可与 Cobalt Strike 的 Execute-Assembly 配合使用 注意 ：此工具仍处于实验阶段，远未达到可用于真实渗透测试的程度。 预览 当前功能...

nosferatu

nosferatu Windows NTLM/Kerberos Authentication Backdoor How it Works First, the DLL is injected into the lsass.exe process, and will begin hooking authentication WinAPI calls. The targeted functions are: NTLM: NtlmShared!MsvpPasswordValidate Kerberos: cryptdll!CDLocateCSystem Kerberos:...

MiscTools

MiscTools CsExec Ejecución de comandos / Movimiento lateral mediante funcionalidad similar a PsExec. Debe ejecutarse en el contexto de un usuario privilegiado. root@kitploit: CsExec.exe Véase también TikiService. CsPosh Ejecución de comandos / Movimiento lateral mediante PowerShell. Crea un espac...

HiddenNetworks-Python

HiddenNetworks-Python v0.9 2020年5月 Hidden Networks 是一个新概念验证（基于同名论文），使用Python 3.4编写。它简化了分析本地和远程机器（在域内，使用WMI）以搜索USB设备连接痕迹的任务。通过收集到的信息，该概念验证绘制了一个网络，显示这些USB设备与所连接计算机之间的路径或跳转。由此描绘出一个替代网络。同一个应用程序会生成网络（每个设备一个），所有收集的信息将存储在两个文件（.CSV和.JSON）中，以便后续分析和导出。 功能...

NorkNork

NorkNork - 用于识别 Empire 持久化后门的工具 https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/ 关于： 此脚本设计用于在 Windows 系统上识别 Powershell Empire 持久化后门。 目前支持检查以下持久化方法： 计划任务 自动运行 WMI 订阅 安全支持提供程序 轻松访问中心后门 计算机账户密码禁用 安装： 你可以使用 Python 2.7 运行此脚本，或下载 pyinstaller 编译的可执行文件。在 PowerShell 窗口中运行二进制文件或脚本...

wmiexec-Pro

wmiexec-Pro Tabla de contenido 1. Información 2. Agradecimientos especiales 3. Características 4. Cómo empezar Instalación 5. Uso 6. Capturas de pantalla 7. ¿Cómo funciona? 8. Aviso legal 9. Referencias Información La nueva generación de wmiexec.py, con más funciones nuevas; todas las operaciones...