SysmonConfigPusher2

SysmonConfigPusher v2 一款基于网页的工具，用于管理 Windows 端点上的 Sysmon 配置 —— 支持无代理（WMI/SMB）和基于代理的部署。 功能特性 功能| 描述 ---|--- 无代理部署| 通过 WMI 和 SMB 推送 Sysmon 二进制文件和配置 代理支持| 适用于云虚拟机和 DMZ 服务器的轻量级代理 Docker 支持| 在 Linux/Docker 上运行，仅用于代理部署 Web 界面| 现代 React UI，支持实时部署进度 事件日志查看器| 从远程主机查询 Sysmon 日志 噪声分析| 识别高容量事件以调整配置 计划部署|...

TChopper

TChopper 我最近发现了一项新技术，并给它取了个昵称（Chop chop），用于通过 Windows 服务的显示名称和 WMI 进行横向移动，方法是将恶意二进制文件以 base64 块的形式走私，并使用 TChopper 工具自动化该过程。 image 工作原理 该工具会获取你想要走私的文件，并将文件编码为 base64 放入内存流中 将每行的长度分割为 150-250 字符（250 是服务 lpDisplayname 参数允许的最大空间...

WMIHACKER

WMIHACKER无需445端口 免责声明：本项目涉及的技术仅供安全学习与研究防御用途，禁止非法使用！ 免杀横向移动命令执行测试工具无需445端口 介绍：免杀横向渗透远程命令执行，常见的WMIEXEC、PSEXEC执行命令是创建服务或调用Win32Process.create执行命令，这些方式都已经被杀软100%拦截，通过改造出WMIHACKER免杀横向移动测试工具。无需445端口 主要功能：1、命令执行；2、文件上传；3、文件下载；4、PTH使用 使用 合并Issue 1里PTH的使用方法： root@kitploit: 第54-58行代码： if user = "-" And pas...

EDRUnChoker

EDRUnChoker Remediación WMI sin archivos paraEDRChoker que contrarresta el abuso de QoS pacer.sys que estrangula a los agentes EDR hasta dejarlos con un ancho de banda de red casi nulo. Registra una suscripción permanente en root\subscription sin archivos en disco. Un temporizador de 5 segundos...

Invoke-TheHash

Invoke-TheHash Invoke-TheHash 包含用于执行哈希传递 WMI 和 SMB 任务的 PowerShell 函数。WMI 和 SMB 连接通过 .NET TCPClient 建立。认证通过将 NTLM 哈希传递给 NTLMv2 认证协议完成。客户端无需本地管理员权限。 要求 最低 PowerShell 2.0 导入 Import-Module ./Invoke-TheHash.psd1 或 . ./Invoke-WMIExec.ps1 . ./Invoke-SMBExec.ps1 . ./Invoke-SMBEnum.ps1...

gargamel

Gargamel 编译 已使用 Rust 1.50+ 完成编译和测试。 在项目目录中打开终端，输入以下命令编译 release 版本： root@kitploit: cargo build --release 调试版本可使用以下命令编译： root@kitploit: cargo build 编译后的可执行文件分别位于 target/release/gargamel.exe 或 target/debug/gargamel.exe。 设置日志级别 如果希望更改日志级别： 打开 src/main.rs 在第 42 和 43 行，将 LevelFilter::Info...

LiquidSnake

Liquid Snake Liquid Snake 是一个旨在对 Windows 系统进行横向移动而不接触磁盘的程序。 该工具依赖 WMI 事件订阅来在内存中执行 .NET 程序集，该 .NET 程序集将在命名管道上监听 shellcode，然后使用线程劫持 shellcode 注入的一个变种来执行它。 下面的图表（希望如此）阐明了数据流程： 致谢 MDSec - WMI Event Subscription - 该工具只是该博客文章中描述的概念的一个实现，代码也依赖于 Dominic 的 WMI 持久化 C PoC pwndizzle - thread-hijack.cs - 为 C...

Check-LocalAdminHash

Check-LocalAdminHash Check-LocalAdminHash 是一个 PowerShell 工具，它尝试通过 WMI 或 SMB 使用密码哈希向多个主机进行身份验证，以确定所提供的凭据是否为本地管理员。当你获取到某个用户的密码哈希，并想查看该用户在网络中的哪些主机上是本地管理员时，这个工具非常有用。它本质上是我最喜欢的两款工具与我自身部分代码的“弗兰肯斯坦”式结合。它利用 Kevin Robertson（@kevinrobertson）的 Invoke-TheHash 项目进行凭据检查部分。此外，该脚本还使用了 Will Schroeder（@harmj0y）和...

WMEye

WMEye WMEye 是一个实验性工具，是在探索 Windows WMI 时开发的。该工具旨在利用 WMI 和远程 MSBuild 执行实现横向移动。它将编码/加密的 shellcode 上传到远程目标的 WMI 类属性，创建一个事件筛选器，当触发时，通过名为 LogFileEventConsumer 的特殊 WMI 类写入基于 MSBuild 的有效负载，最后远程执行该有效负载。 使用场景 使用 WMI 进行无文件横向移动，可与 Cobalt Strike 的 Execute-Assembly 配合使用 注意 ：此工具仍处于实验阶段，远未达到可用于真实渗透测试的程度。 预览 当前功能...

CVE-2026-42980-POC

CVE-2026-42980 Disclosure Público Este repositorio contiene el material público de disclosure para CVE-2026-42980 , una vulnerabilidad de integer underflow en WMI del kernel de Windows que puede explotarse para elevación local de privilegios hasta NT AUTHORITY\SYSTEM en builds vulnerables de...

WMIExec

WMIexec 一组Python脚本，通过WMI协议以不同方式执行命令。 博客文章 https://whiteknightlabs.com/2023/06/26/navigating-stealthy-wmi-lateral-movement/ 使用方法 wmiexecscheduledjob.py 是一个Python脚本，通过计划任务认证到远程WMI实例并执行命令。 运行脚本： root@kitploit: python3 wmiexecscheduledjob.py -i -u -p -c wmiexecwin32process.py...

SharpMove

SharpMove - 对远程主机进行 .NET 认证执行 编译 要编译，请打开 Visual Studio 项目并编译为发布版本。 选项 WMI SCM DCOM 多种 任务计划程序 服务 DLL 劫持 DCOM 服务器劫持 修改计划任务 修改服务 binpath root@kitploit: SharpMove.exe action=query computername=remote.host.local query="select from win32process" username=domain\user password=password root@kitploit:...

CobaltStrike-BOF

CobaltStrike BOF Beacon BOF 工具集。 1）DCOM 横向移动 一个快速 PoC，通过 beacon 对象文件使用 DCOM（ShellWindows）进行横向移动。你可以指定凭据或使用当前用户。使用当前用户时，只需将域、用户名和密码留空。一篇关于在 C 中使用 COM 对象的简短文章可在此处找到：https://yaxser.github.io/CobaltStrike-BOF/。 2）WMI 横向移动 - Win32Process Create 与上一个概念类似，但是一次有趣的学习体验。代码改编自 CIA Vault...

CVE-2020-1472

CVE-2020-1472 CVE 2020-1472 Script de validación Assumption: WinRM is enabled between domain controllers. Required permissions: root@kitploit: If child domains are present: Enterprise admin If single forest, single domain: Domain admin This script must be run on a primary domain controller with...

RemoteRecon

RemoteRecon 远程侦察与收集 RemoteRecon 提供对远程主机执行后渗透利用能力的功能，而无需暴露您的完整工具包/代理。作为操作者，我们常常需要入侵一台主机，仅仅是为了对目标人员/主机进行键盘记录或截屏（或其他微小的任务）。为什么您必须将 Beacon、Empire、Innuendo、Meterpreter 或自定义 RAT 推送到目标上？这会增加您在目标环境中的足迹，暴露您的代理中的功能，以及您的 C2 基础设施。一种替代方案是向感兴趣的目标部署次要代理并收集情报。然后将这些数据存储起来，供您自行决定检索。如果这些受感染端点被 IR...

wmi-static-spoofer

wmi-static-spoofer Motivación: La motivación inicial es evadir los métodos de detección de HWID utilizados por software intrusivo como anti-cheats, etc., o las restricciones de licencia implementadas en el software. El concepto no es nuevo, pero otras soluciones requieren un driver cargado en tod...

SharpStrike

SharpStrike SharpStrike 是一款用 C 编写的后渗透工具，可使用 CIM 或 WMI 查询远程系统。它可以使用提供的凭据或当前用户的会话。 注意：某些命令会结合 PowerShell 与 WMI 使用，在 --show-commands 命令中以 标注。 简介 SharpStrike 是对 @MattGrandy 的 CIMplant 和 @christruncer 的 WMImplant 的 C 重写和扩展。 SharpStrike 允许您收集远程系统的数据、执行命令、外泄数据等。该工具支持通过 Windows Management Instrumentation...

NorkNork

NorkNork - 用于识别 Empire 持久化后门的工具 https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/ 关于： 此脚本设计用于在 Windows 系统上识别 Powershell Empire 持久化后门。 目前支持检查以下持久化方法： 计划任务 自动运行 WMI 订阅 安全支持提供程序 轻松访问中心后门 计算机账户密码禁用 安装： 你可以使用 Python 2.7 运行此脚本，或下载 pyinstaller 编译的可执行文件。在 PowerShell 窗口中运行二进制文件或脚本...

PowerLurk

PowerLurk PowerLurk 是一个用于构建恶意 WMI 事件订阅的 PowerShell 工具集。其目标是在渗透测试或红队行动期间更轻松地触发 WMI 事件。更多详细信息请参阅我的文章 利用 WMI 事件监控用户：PowerLurk 介绍 ：https://pentestarmoury.com/2016/07/13/151/ 要使用 PowerLurk，您需要将 PowerLurk.ps1 模块导入到您的 PowerShell 实例中。可以通过以下几种方式完成： 本地导入 PS powershell.exe -NoP -Exec ByPass -C Import-Module...

nosferatu

nosferatu Windows NTLM/Kerberos Authentication Backdoor How it Works First, the DLL is injected into the lsass.exe process, and will begin hooking authentication WinAPI calls. The targeted functions are: NTLM: NtlmShared!MsvpPasswordValidate Kerberos: cryptdll!CDLocateCSystem Kerberos:...