powershell-reverse-tcp

PowerShell リバース TCP リモートホストと通信するためのPowerShellスクリプト。 リモートホストはクライアントとその基盤となるシステムコマンドを完全に制御できます。 以下のシェルを確認してください： Invoke-Expression PowerShell コマンド こちら, プロセスパイプ こちら。 Windows 10 Enterprise OS 64-bit上のPowerShell v5.1.19041.2673でテスト済み。 教育目的で作成されました。お役に立てば幸いです！...

GRAT2

GRAT2 C2 root@kitploit: c.-.c c.-.c c.-.c c.-.c c.-.c / .. \ / .. \ / .. \ / .. \ / .. \ \ Y / \ Y / \ Y / \ Y / \ Y / .-/'-'-..-/'-'-..-/'-'-..-/'-'-..-/'-'-. || G || || R || || A || || T || || 2 || .' -' '. .' -' '. .' -' '. .' -' '. .' -' '. .-./-'.-..-./-.-..-./-'.-..-./-'.-..-./-'.-...

Chimera

Chimeraは、AMSIやアンチウイルスソリューションをバイパスするために設計された（派手で非常にハックな）PowerShell難読化スクリプトです。AVをトリガーすることで知られる悪意のあるPS1を消化し、文字列置換と変数連結を使用して一般的な検出シグネチャを回避します。 Chimeraはこのwrite-upのために作成され、検出シグネチャをバイパスすることがいかに簡単であるかを示すさらなる証拠です。このリポジトリが誰かに堅牢で信頼性の高いものを作るきっかけとなることを願っています。 Chimeraの仕組み…...

Chimera

Chimera is a shiny and very hack-ish PowerShell obfuscation script designed to bypass AMSI and antivirus solutions. It digests malicious PS1's known to trigger AV and uses string substitution and variable concatenation to evade common detection signatures. Chimera was created for this write-up an...

nimcrypt

nimcrypt Sliverシェルコードローダー。Nimで記述され、Windows x64を対象としています。最も一般的な2つの配信状況に対応した2つのバリアントがあります。Windows Defender（リアルタイム保護有効）でテスト済みです。 バリアント stager 暗号化されたシェルコードブロブをディスクから読み込み、メモリ上で復号し、自己インジェクションします。ファイルドロップのプリミティブが既にあり、小さくシンプルなバイナリが必要な場合に使用します。 root@kitploit: loader.exe keyhex ivhex...

Rusty-Playground

Rusty-Playground 🦀 一系列 Rust 程序，展示一些攻击性安全与规避技术 工具| 描述| 参考 ---|---|--- ClipboardMon| 监视剪贴板变化，记录剪贴板内容，或根据检测到的变化复制文件。| - DumpMDEConfig| 枚举 Microsoft Defender，以识别系统上启用的排除路径、允许的威胁、防护历史记录和 ASR（攻击面减少）规则。无需管理员权限。| 来源 ElevateToken| 模拟用户令牌，以创建具有提升系统权限的进程。| Token::elevate HashMiner| 从 SAM 和 SYSTEM 中提取 NTLM 哈...

LightsOut

LightsOut LightsOutは、難読化されたDLLを生成し、AMSI & ETWを無効にしつつ、AVの検知を回避しようとします。これは、使用されるすべてのWinAPI関数をランダム化し、文字列をXORエンコードし、基本的なサンドボックスチェックを利用することで行われます。Mingw-w64を使用して、難読化されたCコードをコンパイルし、AMSIまたはETWが存在する任意のプロセス（例：PowerShell）にロードできるDLLにします。...

Invisi-Shell

Invisi-Shell あなたのPowerShellスクリプトをあからさまに隠せ！ Invisi-Shellは、.NETアセンブリをフックすることで、PowerShellのセキュリティ機能（ScriptBlockログ、モジュールログ、トランスクリプション、AMSI）をすべてバイパスします。フックはCLR Profiler APIを介して実行されます。 作業中 これはまだPOCを意図した暫定版です。コードはx64プロセスでのみ動作し、PowerShell V5.1でテストされています。 使用方法...

Nidhogg

Nidhogg Nidhogg は、カーネル空間で実行できるさまざまな操作を紹介する多機能ルートキットです。Nidhogg の目標は、操作に役立つ多機能で使いやすいオールインワンのルートキットを提供することです。さらに、C2 フレームワークと簡単に統合することもできます。 Nidhogg は、x64 版 Windows 10 および Windows 11 のすべてのバージョンで動作します。 このリポジトリには、カーネルドライバと、それと通信するための C++ プログラムが含まれています。 詳細については、wiki をご覧ください。 現在の機能 !IMPORTANT すべての機能は...

BOF_ExecuteAssembly

BOF Execute-Assembly 用于 Cobalt Strike 的 Beacon 对象文件，可在 beacon 内使用规避技术执行 .NET 程序集。 概述 核心架构 root@kitploit: ┌──────────────────────────────────────────────────────────────────────────────┐ │ Cobalt Strike Beacon │ │ Parent Process │...

SharpKiller

SharpKiller 由 @ZeroMemoryEx 编写、移植到 .NET Framework 4.8 的永久性 AMSI 绕过工具 AMSI-Killer。 需要额外混淆 https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=VirTool:MSIL/SharpKiller.A&ThreatID=2147895059 新增集成功能： x - 每 0.5 秒实时扫描新的 PowerShell 进程 - 自动修补新的 PowerShell 实例 生成解决方案...

AMSI.fail

AMSI.fail 元々はCのAzure Functions（後にJSに移植）で、HTTPトリガーにより、現在のプロセスのAMSIを破壊または無効化する難読化されたPowerShellスニペットを生成します。 スニペットは、難読化される前に少数のテクニック/バリエーションのプールからランダムに選択されます。すべてのスニペットは実行時/リクエスト時に難読化されるため、生成された出力が同じシグネチャを持つことはありません。 ライブで動作するデモは https://amsi.fail/ をご覧ください！ AMSIとは何か？ f-secureが彼らの優れたブログ記事:で説明しているように、...

Girsh

Girsh Golang 交互式反向 Shell 谁没有厌倦过手动输入那几行代码来将反向 Shell 升级为完整的交互式反向 Shell（tty spawn、stty size ...、stty raw -echo）或者输入使用 ConPTY 的命令呢？ 描述 使用 Girsh，只需运行它，它就会检测操作系统并执行正确的命令，将其升级为完整的交互式反向 Shell。 对于 Linux： 获取终端大小 使用 python2.7、python3 和 python 生成 tty 将终端设置为 raw 模式 对于 Windows： 绕过 AMSI 并使用 ConPTY 生成交互式终端 监听以获取...

AMSI-patches-learned-till-now

迄今学到的AMSI补丁 我已经记录了我迄今学到的所有AMSI补丁 ❗ 我迄今的AMSI补丁学习。不属于我公司的资产！ 免责声明：此代码到目前为止并非旨在规避检测！仅为概念性方法！ 链接： 1. https://web.archive.org/web/20220718153535/https://pre.empt.dev/posts/maelstrom-etw-amsi/AntimalwareScanInterfaceAMSI 2. https://rastamouse.me/memory-patching-amsi-bypass/ 仍有待实现的内容： 1. 通过硬件断点 和VEH...

ThreatCheck

ThreatCheck Matterpreter's の DefenderCheck の修正版です。 バイナリを入力として（ディスク上のファイルまたはURLから）受け取り、それを分割して、対象エンジンがフラグを立てる正確なバイトを特定し、画面に表示します。これは、ツール/ペイロード内の特定の悪意のあるコードを特定しようとする際に役立ちます。 root@kitploit: C:\ThreatCheck.exe --help -e, --engine Default: Defender Scanning engine. Options: Defender, AMSI -f, --file...

PowerShx

SharpShx 使用 DLL 或独立可执行文件进行非托管 PowerShell 执行。 介绍 PowerShx 是基于 PowerShdll 项目重写和扩展的版本。PowerShx 提供了绕过 AMSI 和运行 PowerShell Cmdlet 的功能。 特性 使用 rundll32.exe、installutil.exe、regsvcs.exe、regasm.exe、regsvr32.exe 通过 DLL 运行 PowerShell。 无需 powershell.exe 或 powershellise.exe 即可运行 PowerShell。 具备 AMSI 绕过功能。...

AMSITrigger

AMSITrigger v3 悪意のある文字列の検出 使い方: root@kitploit: -i, -inputfile=VALUE PowerShellファイル名 -u, -url=VALUE URL 例: https://10.1.1.1/Invoke-NinjaCopy.ps1 -f, -format=VALUE 出力形式: 1 - トリガーのみ表示 2 - トリガーを行番号付きで表示 3 - トリガーをコード内にインライン表示 4 - AMSI呼び出しを表示（Xmasツリーモード） -d, -debug デバッグ情報を表示 -p, -pause=VALUE...

hoaxshell

hoaxshell ⚡ 本项目的最新版本是 HoaxShell 独立监听器，它带有更新的有效载荷模板。你也可以直接从 https://revshells.com 使用（确保选择 hoaxshell 作为监听器）。 ⚠️ 截至 2022-10-18，hoaxshell 已被 AMSI 检测到（恶意软件百科）。你需要混淆生成的有效载荷才能使用。查看本视频了解如何手动混淆并绕过 MS Defender： Hoaxshell 示例 - youtube.com/watch?v=iElVfagdCD4 常见 PowerShell 反弹 shell 模板示例 -...

Nemesis

Nemesis 明日アップデートをプッシュ予定。ライセンス変更と、データスティーラーに対する新たな対策をいくつか追加します。 マルウェアサンプル内で jlaive のフォークを延々と見続けるのに疲れて、実行時に実際に引き裂く公開ツールが何もなかったので作った Windows ツール。 要するに、ネイティブ層で CLR をフックし、リフレクティブアセンブリロードを追跡し、メモリから直接 PE を自動ダンプする .NET プロセスモニタです。また、clr.dll の文字列パッチや直接 LoadFromBuffer の使用などの回避手法を検出しながら、元のディスク上のバイナリに対する AMSI...

Salsa-tools

root@kitploit: / / / / / / / / \ / / / / / / / / / / / / / / // / // / / / / // / // / //,///,/ // //// Salsa Tools - bellotaソースに浸したAVセーフなリバースシェル Salsa Toolsは、3つの異なるツールを組み合わせたツール群です。PowerShellの実行さえ必要とせず、あらゆるWindows環境で強化されたリバースシェルを取得できます。最新の検出技術（AMSI）を回避するため、ほとんどのコンポーネントはCで記述されています。Salsa...