windbg-mcp

WinDbg MCP Un servidor MCP Model Context Protocol que expone cada función del depurador de Windows de pybag como una herramienta nativa de MCP. Le otorga a cualquier cliente compatible con MCP Claude Desktop, Claude Code, Cowork, OpenAI Codex CLI, Cursor y agentes personalizados control total sob...

windbg-decompile-ext

通过 LLM 实现的 Windbg 反编译扩展 该项目是一个 Windows x64 WinDbg 扩展骨架，它通过名称或地址解析函数，重建确定性的控制流视图，并直接从扩展中询问 LLM 以生成伪代码。 布局 src/extension：WinDbg 扩展 DLL 和 !decomp 命令。 src/shared：扩展共享的 JSON、分析器、协议和验证器代码。 scripts：构建和供应商复制辅助工具。 thirdparty/dbgeng：可选的供应商 dbgeng.h 和 dbgeng.lib 副本。 thirdparty/zydis：供应商提供的稳定版 Zydis...

PrivFu

PrivFu 内核模式 WinDbg 扩展及用于测试令牌权限如何工作的 PoC 示例。 有一些著名的关于令牌权限滥用的仓库和文章，例如 Grzegorz Tworek 的 Priv2Admin。 本仓库中的代码旨在帮助研究令牌权限的工作机制。 目录 PrivFu ArtsOfGetSystem KernelWritePoCs PrivEditor getps 命令 getpriv 命令 addpriv 命令 rmpriv 命令 enablepriv 命令 disablepriv 命令 enableall 命令 disableall 命令 PrivilegedOperations...

drvtrace

tracedrv 用于跟踪被调试驱动程序进入其他模块的转换（即跟踪函数调用）的小型WinDbg扩展。 用法 root@kitploit: !tracedrv 4000 trace for 4000 instructions...

WinDbg-Samples

这是一个用于扩展 WinDbg 的扩展和示例脚本集合。我们将随着时间的推移不断添加更多示例和扩展。 入门 要加载 JavaScript 扩展： 1. 在本地下载脚本文件。 2. 确保你拥有最新版本的 WinDbg。 3. 启动你的调试会话。 4. JavaScript 扩展（JSProvider）应自动加载。你可以通过运行 .scriptproviders 命令并检查 JavaScript 是否在列表中来验证其是否已加载。 如果 JavaScript 不在列表中，请运行 .load jsprovider 5. 运行 .scriptload 或 .scriptrun 。每个脚本的 READ...

voltron

Voltron Voltron is an extensible debugger UI toolkit written in Python. It aims to improve the user experience of various debuggers LLDB, GDB, VDB and WinDbg by enabling the attachment of utility views that can retrieve and display data from the debugger host. By running these views in other TTYs...

ShellCodeEmulator

基于 unicorn framework 的 Windows shellcode 模拟工具 ShellcodeEmulator 借助 windbg 进程内存转储来模拟 Windows shellcode。你可以提供任意 Windows 进程转储镜像随同 shellcode 一起分析。该工具将利用 shellcode 字节和提供的转储镜像，尽可能模拟用户态代码。 你可以在 shellcode 调用的 API 与内核层之间添加自定义系统调用处理程序或任何处理程序。这样可以提供用户栈的完整视图。它将使你能够调查绕过高层调用栈中宽松 API 钩子的 shellcode。 安装 1. 安装...

SwishDbgExt

SwishDbgExt SwishDbgExt 是一个 Microsoft WinDbg 调试扩展，扩展了 Microsoft WinDbg 可用命令集，同时也修复并改进了现有命令。 该扩展由 Matt Suiche @msuiche 开发——如有需要，欢迎通过 [email protected] 联系我们，提出更多功能需求、提供贡献和/或报告错误。 SwishDbgExt 旨在通过一系列调试、事件响应和内存取证命令，让内核开发者、故障排查人员和安全专家的生活更轻松。 由于 SwishDbgExt 是一个 WinDbg 调试扩展，这意味着它可以在本地或远程内核调试会话、由...

lupo

关于如何使用Lupo的说明，请访问 https://github.com/malienist/lupo/wiki/Lupo-Wiki Lupo — 恶意软件IOC提取器 用于恶意软件分析自动化的调试模块 关于如何使用Lupo的详细步骤（含图片和说明），请参阅这篇文章：https://medium.com/@vishalthakur/lupo-malware-ioc-extractor-cc86ae76b85d 简介 在处理涉及恶意软件的安全事件时，我们经常遇到需要自动化部分分析过程的情况，因为完全手动分析往往由于多种因素（时间、技能、规模等）而无法针对每个案例都进行。...

lupo

For instructions on how to use Lupo, visit https://github.com/malienist/lupo/wiki/Lupo-Wiki Lupo — Malware IOC Extractor Debugging module for Malware Analysis Automation For a step by step post on how to use Lupo, with images and instructions, please see this post:...

ttddbg

ttddbg - 时间旅行调试 IDA 插件 ⚠️ 注意：使用 IDA 8 的用户，在将 ttddbg 与 IDA 8 配合使用时目前需要一种变通方法，请参阅已知问题 此插件为 IDA 添加了一个新的调试器，支持加载使用 WinDBG Preview 生成的时间旅行调试跟踪记录。 此插件支持 x86 和 x64 跟踪记录，并由此支持 IDA 和 IDA64。 安装 可以使用发布页面上的安装程序来安装此插件。只要你已安装 WinDBG Preview，安装程序将自动安装所需的依赖项。 使用方法 安装后，您可以在 IDA 界面中选择 ttddbg 调试器，并将您的 .run...

kernel-debug-lab-for-virtual-box

如何使用 Windbg 设置 VirtualBox 实验室来调试内核驱动程序 这里我们假设计算机 A 上已安装 windbg，计算机 B 上已安装 Visual Studio、SDK 和 WDK。 1. 打开 Host Network Manager，创建或设置一个新的 Virtual Box Host-Only Ethernet adapter 2. 创建或选择一个 Virtual Box Host-Only Ethernet adapter，并勾选 DHCP Server 的 Enable 复选框 3. 对于计算机 A 和计算机 B，进入 Settings - Network，在...

defcon_27_windbg_workshop

Taller "Modern Debugging with WinDbg Preview" de DEFCON 27 Este repositorio contiene los materiales para el taller de DEFCON 27 Descripción general Resumen Estamos en 2019 y, aun así, demasiados desarrolladores y hackers de Windows por igual siguen confiando en herramientas útiles, pero bastante ...

windbg_js_scripts

Scripts de JavaScript para WinDbg Instalar como una galería de WinDbg Clona el repositorio root@kitploit: git clone https://github.com/hugsy/windbgjsscripts En windbgjsscripts\config.xml, edita las líneas Setting Name="LocalCacheRootFolder" para que reflejen la ruta local del repositorio. En...

lolbin-poc

lolbin-poc 使用微软签名可执行文件作为 lolbin 的小型 PoC。 构建（32位） root@kitploit: cmake -B build32 -A Win32 cmake --build build32 --config Release 构建（64位） root@kitploit: cmake -B build64 -A x64 cmake --build build64 --config Release 使用方法 从此处下载 WinDbg，并将编译好的 dbgeng.dll 放到 windbg.exe 旁边。 额外内容 还有一些其他 DLL 可供使用：...

yara-ttd

yara-ttd - 加壳程序的终极克星 在时间旅行调试（TTD）追踪记录上使用 YARA 规则 1. 演示 2. 动机 3. 安装 4. 用法 5. 即将推出的功能 演示 使用 UPX 加壳的二进制程序 一个简单的启动 calc.exe 的二进制程序，使用 UPX 加壳。 yara-ttd 在线程创建期间，在模块内存中找到了 calc.exe 字符串。 一段运行 calc.exe 的简单混淆 shellcode 被测试的二进制程序解密一段 shellcode，并在新线程中运行它。 当在 ntdll!NtCreateThreadEx 函数上挂钩时， yara-ttd 成功在堆上找到了...

recon_2024_windbg_workshop

REcon 2024 - 使用 WinDbg 进行更好调试的技巧与诀窍 本仓库包含为 REcon 2024 上的研讨会“Tips & Tricks for better debugging with WinDbg”创建的材料。 环境搭建 该研讨会材料旨在为 WinDbg 在内核模式调试时提供有用的功能，但其概念同样可以很好地应用于用户模式调试。 要轻松搭建 KdNet 环境，可以： 创建一个 Windows 虚拟机，并使用 bcdedit /dbgsettings 进行设置 使用 WindowsSandbox root@kitploit:...

The Windows Registry Adventure #6: Kernel-mode objects

Posted by Mateusz Jurczyk, Google Project Zero Welcome back to the Windows Registry Adventure! In the previous installment of the series, we took a deep look into the internals of the regf hive format. Understanding this foundational aspect of the registry is crucial, as it illuminates the design...

The vulnerability of the multi-purpose debugger WinDbg, related to errors in checking cryptographic signatures, allows a hacker to execute remote code.

The vulnerability of the multi-purpose debugger WinDbg is related to errors in checking the cryptographic signature. Exploiting this vulnerability can allow a remote attacker to execute malicious code remotely...

Microsoft WinDbg Remote Code Execution (March 2025)

The Microsoft WinDbg app installed on the remote host is affected by a remote code execution vulnerability: - Improper verification of cryptographic signature in .NET allows an authorized attacker to execute code over a network. CVE-2025-24043 Note that Nessus has not tested for this issue but ha...