InjectProc

InjectProc Process injection is a very popular method to hide malicious behavior of code and are heavily used by malware authors. There are several techniques, which are commonly used: DLL injection, process replacement a.k.a process hollowing, hook injection and APC injection. Most of them use...

frida-wshook

frida-wshook frida-wshook is an analysis and instrumentation tool which uses frida.re to hook common functions often used by malicious script files which are run using WScript/CScript. The tool intercepts Windows API functions and doesn't implement function stubs or proxies within the targeted...

go-shellcode

go-shellcode go-shellcode is a repository of Windows Shellcode runners and supporting utilities. The applications load and execute Shellcode using various API calls or techniques. The available Shellcode runners include: CreateFiber CreateProcess CreateProcessWithPipe CreateRemoteThread...

applepie

applepie, a hypervisor implementation for Bochs Hello! Welcome to applepie! This is a tool designed for fuzzing, introspection, and finding bugs! This is a hypervisor using the Windows Hypervisor Platform API present in recent versions of Windows specifically this was developed and tested on...

dynmx

dynmx 프로토타입 dynmx 발음: 다이내믹스는 Windows API 호출 시퀀스를 기반으로 한 행위 기반 악성코드 특징 탐지 접근법입니다. 간단히 말해, dynmx 는 악성코드 샌드박스에서 생성된 API 호출 추적소위 함수 로그을 위한 일종의 YARA로 생각할 수 있습니다. 따라서 탐지 접근법의 데이터 기반은 정적으로 분석되는 악성코드 샘플 자체가 아니라 악성코드 샌드박스에서 동적 분석 중 생성된 데이터입니다. 현재 dynmx 는 다음 악성코드 샌드박스의 함수 로그를 지원합니다: VMRay 함수 로그, 텍스트 및 XML ...

dynmx

dynmx Prototype dynmx spoken dynamics is a signature-based detection approach for behavioural malware features based on Windows API call sequences. In a simplified way, you can think of dynmx as a sort of YARA for API call traces so called function logs originating from malware sandboxes. Hence,...

WhoamiAlternatives

whoami의 대안들 whoami.exe나 유사한 바이너리를 호출하지 않고 현재 사용자 이름을 검색하기 위한 몇 가지 실험입니다. 방법 1: PRTLUSERPROCESSPARAMETERS PEB 구조에서 환경 변수를 가져와 구문 분석하여 사용자 이름을 찾습니다. NtQueryInformationProcess 함수는 PEB 기본 주소에 대한 포인터를 포함하는 "PROCESSBASICINFORMATION" 구조체를 반환합니다. PEB 구조체는 RTLUSERPROCESSPARAMETERS 구조체에 대한...

delete-self-poc

🗑️ delete-self-poc delete-self-poc は、ロックされた実行可能ファイルや現在実行中のファイルをディスクから削除する方法のデモンストレーションです。この概念は当初 Jonas Lykkegaard によって発見され、私はそのための概念実証 POC を作成しました。さらに、現在の呼び出し元プロセスがそれらにアクセスして削除するために必要な権限を持っている場合、ディスク上のロックされたファイルを削除するためにも使用できます。 では、この POC はどのように機能するのでしょうか？ 1. 現在実行中のプロセスへの HANDLE を DELETE...

EDRs

EDRs このリポジトリには、レッドチーム演習中に役立つ可能性のあるEDRに関する情報が含まれています。 patchsyscalldynamically64.c このPoCは、syscall IDを動的に解決するため、リモートホスト上で実行されているバージョンを確認する必要がありません。ディスク上（改ざんされていない）の情報を取得するために、CreateFileMappingおよびMapViewOfFile Windows APIの呼び出しが実行されます。その後、DLLが解析されてデータが取得され、ライブコードのパッチに使用されます。 patchsyscall64.c...

instrumentation_callbacks

instrumentationcallbacks Instrumentation callbacks（インストルメンテーションコールバック）は、Windowsのあまり文書化されていない面白い機能です。 このリポジトリ内のすべてのコードはMITライセンスの下で公開されています。 このリポジトリはGoogleスタイルのC++スペーシングを使用しています。 問題、バグを見つけた場合、または特定の機能を追加すべきだと考える場合は、PRを歓迎します。 それらは何ですか？...

SilentMoonwalk

SilentMoonwalk 완전 동적 콜 스택 스푸퍼의 PoC 구현 TL;DR SilentMoonwalk는 완전 동적 콜 스택 스푸퍼의 PoC 구현으로, ROP를 사용하여 언와인딩을 제어 흐름과 비동기화함으로써 콜 스택에서 원래 호출자를 제거하는 기법을 구현합니다. Authors 이 PoC는 스택 스푸핑 주제에 대한 공동 연구의 결과물입니다. 연구의 저자는 다음과 같습니다: KlezVirus Waldo-IRC Trickster0 이 작업은 초기 PoC 단계와 PoC 뒤에 있는 연구에 모두 기여한 Waldo-IRC와...

maldev-for-dummies

Malware Development for Dummies In the age of EDR, red team operators cannot get away with using pre-compiled payloads anymore. As such, malware development is becoming a vital skill for any operator. Getting started with maldev may seem daunting, but is actually very easy. This workshop will sho...

gftrace

gftrace 一个用于 Golang 二进制文件的命令行 Windows API 跟踪工具。 注意： 此工具是一个概念验证和工作进行中的原型，请相应对待。欢迎反馈！ 工作原理？ 尽管 Golang 程序在构建方式和运行时行为方面包含许多细微差别，但它们仍然需要与操作系统层交互，这意味着在某些时候它们确实需要调用 Windows API 的函数。 Go 运行时包包含一个名为 asmstdcall 的函数，该函数是用于与 Windows API 交互的一种“网关”。由于这个函数预计会调用 Windows API...

gftrace

gftrace A command line Windows API tracing tool for Golang binaries. Note: This tool is a PoC and a work-in-progress prototype so please treat it as such. Feedbacks are always welcome! How it works? Although Golang programs contains a lot of nuances regarding the way they are built and their...

NtDetours

NTSTATUS NTAPI TrInitPVOID ImageBase = &ImageBase; IAT を書き込み可能にします。 simple.cpp を探してください。 TimedSleepEx は TrueSleepEx 関数ポインターを介して実際の SleepEx API を呼び出します。 static DWORD WINAPI TrueSleepExDWORD dwMilliseconds, BOOL bAlertable = SleepEx; DWORD WINAPI TimedSleepExDWORD dwMilliseconds, BOOL bAlertable...

RtlHijack

RtlHijack Rtl 関数を意図しない方法で使用した代替の Read / Write プリミティブを実演するスクリプト集です。 RtlFillMemory.c RtlFillMemory は3つの引数、すなわち書き込み先メモリへのポインタ、書き込むバイト数、および1バイトの値を取ります。指定されたメモリブロックに1バイトだけを書き込みます。 RtlInitializeBitMapEx.c RtlInitializeBitMapEx と RtlFillMemory を組み合わせた書き込みプリミティブです。...

CVE-2022-29072

情報 権限昇格攻撃に関するPoCコードはどこにも公開していません。見つかったPoCコードは権限昇格とは関係ありません。ご了承ください。 7-zipについて 7-Zipは、自由で無料のファイルアーカイバです。7-Zipのコマンドプロンプト版はUnix系システム向けに設計されており、AmigaOSもその中に含まれます。また、DOS用のDost PortやHX-DOS拡張機能を使用してWindowsコマンドプロンプトで実行することも可能です。 CVE-2022-29072 少しだけトルコ語で書きます。あなたもトルコ語を学んでください。...

flare-ida

Code Grafter Function Replacements About Code Grafter Code Grafter is an IDA Python script that makes it possible to use IDA Pro's Bochs IDB Mode to emulate code that imports Windows API functions. Emulation environments like Bochs IDB mode do not resolve or emulate imported functions, resulting ...

windows-api-function-cheatsheets

Windows API 関数チートシート 連絡先 🌨️ Tetsuo: https://www.x.com/tetsuo 目次 Windows API 関数チートシート ファイル操作 プロセス管理 メモリ管理 スレッド管理 ダイナミックリンクライブラリ DLL 管理 同期 プロセス間通信 Windows フック 暗号化 デバッグ Winsock レジストリ操作 エラー処理 リソース管理 Unicode 文字列関数 文字列長 文字列コピー 文字列連結 文字列比較 文字列検索 文字の分類と変換 Win32 構造体チートシート 一般的な構造体 Win32 ソケット構造体チートシート...

PowerShell-Suite

PowerShell-Suite 優れたツールやリソースがオンラインにあり、PowerShellでほとんどすべてのタスクを達成できます。しかしながら、特定の目的のためにユーティリティをスクリプトでまとめたり、存在論的なギャップを埋める必要がある場合もあります。これは、私が楽しみのため、または特定の用途を念頭に置いてまとめたPowerShellユーティリティのコレクションです。 したがって、それらから得られる成果は人それぞれ異なるかもしれませんが、遠慮なく問題を投稿したり、フォークして適用したりしてください！ Windows API PowerShellからWindows...