TrickDump

TrickDump TrickDump 转储 lsass 进程时不创建 Minidump 文件，而是生成 3 个 JSON 文件和 1 个包含内存区域转储的 ZIP 文件。分为三个步骤： Lock ：使用 RtlGetVersion 获取操作系统信息。 Shock ：通过 NtOpenProcessToken 和 NtAdjustPrivilegeToken 获取 SeDebugPrivilege 权限，使用 NtGetNextProcess 和 NtQueryInformationProcess 打开句柄，然后通过 NtQueryInformationProcess 和...

RDPCredentialStealer

RDPCredentialStealer RDPCredentialStealer 是一个利用 Detours 库在 C++ 中实现 API 挂钩来窃取用户在 RDP 中提供的凭据的植入工具。 凭据窃取的概念验证工具 让我们试试： 首先，我将 GitHub 仓库中的 DLL 转移到路径 C:\Users\Public\Music： 现在，我打开一个 RDP 连接器 Windows 应用程序： 然后，我执行 GitHub 仓库中的 EXE 文件： 当我尝试访问一个 RDP 服务器时： 我输入用户：s12User 和密码：passwdtest 现在，我检查文件：...

Introspy-iOS

Introspy-iOS Herramienta de caja negra que ayuda a comprender qué hace una aplicación iOS en tiempo de ejecución y a identificar posibles problemas de seguridad. Consulte http://isecpartners.github.io/Introspy-iOS/ para una introducción rápida. Descripción Este es el repositorio del tracer de...

RdpThief

RdpThief RdpThief 本身是一个独立的 DLL，当注入到 mstsc.exe 进程时，会执行 API 挂钩，提取明文凭据并将其保存到文件中。 它附带一个攻击脚本，用于管理状态、监控新进程并将 shellcode 注入到 mstsc.exe 中。该 DLL 已使用 sRDI 项目 https://github.com/monoxgas/sRDI 转换为 shellcode。启用后，RdpThief 将每 5 秒获取一次进程列表，搜索 mstsc.exe 并注入其中。 当攻击脚本加载到 Cobalt Strike 中时，将提供三个新命令： rdpthiefenable –...

LazyHook

Resumen LazyHook es un framework sigiloso de hooking de API que evita los sistemas de prevención de intrusiones de host HIPS mediante la suplantación de la pila de llamadas. Al aprovechar los puntos de interrupción de hardware a nivel de CPU y el manejo de excepciones vectorizadas, ejecuta código...

DLLHSC

DLLHSC DLL Hijack SCanner（DLL劫持扫描器）——一款用于生成线索并自动化发现DLL搜索顺序劫持候选目标的工具 本页目录 本仓库内容 运行模式 编译与运行指导 帮助菜单 示例运行 反馈 本仓库内容 本仓库包含该工具的Visual Studio项目文件（DLLHSC）、API钩子功能项目文件（detour）、有效载荷项目文件，以及最重要的——适用于x86和x64架构的编译后可执行文件（位于本仓库的release部分）。代码使用 Visual Studio Community 2019 编写和编译。...

frida-wshook

frida-wshook frida-wshook 是一个分析和指令注入工具，它使用 frida.re 来钩取恶意脚本文件（通过 WScript/CScript 运行）常用的函数。 该工具拦截 Windows API 函数，而不在目标脚本语言中实现函数桩或代理。这使得它能够支持分析几种不同的脚本类型，例如： .js（JScript） .vbs（VBScript） .wsf（WSFile）（初步支持/测试。不支持特定作业） 默认情况下，脚本文件使用 cscript.exe 运行，并会输出： COM ProgIds DNS 请求 Shell 命令 网络请求...

NetRipper

描述 NetRipper是一个针对Windows系统的后利用工具，它使用API钩子技术，从低权限用户处拦截网络流量和加密相关函数，能够捕获纯文本流量以及加密前的明文/解密后的明文流量。 NetRipper曾在Defcon 23（内华达州拉斯维加斯）发布。 法律免责声明 在未事先获得双方同意的情况下使用NetRipper攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因使用本程序而导致的任何误用或损害负责！ 摘要...

NoArgs

NoArgs：操纵和隐藏进程参数 Twitter: @AzizWho 免责声明：仅用于教育目的 本工具仅供教育目的使用。我对任何滥用行为不负责任，所有用户必须遵守适用法律。禁止非法使用。 简介 NoArgs 是一款旨在动态伪造和隐藏进程参数且保持不被检测的工具。它通过挂钩 Windows API 来动态操纵 Windows 内部机制，从而实现对进程参数的隐蔽更改。 默认 Cmd： Windows 事件日志： 使用 NoArgs： Windows 事件日志： 功能概述 该工具主要通过拦截 Windows API 函数 CreateProcessW...

AV-EDR-Lab-Environment-Setup

Configuración del entorno de laboratorio AV/EDR Tomado inicialmente del Discord de Maldev Academy y se añadieron más recursos. Notas de Notion: https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4 Un ejemplo de cosas que se pueden usar para emular ciertas...

EUVD-2003-0635

Malware in sbrugna...

NativeDump - Dump Lsass Using Only Native APIs By Hand-Crafting Minidump Files (Without MinidumpWriteDump!)

NativeDump allows to dump the lsass process using only NTAPIs generating a Minidump file with only the streams needed to be parsed by tools like Mimikatz or Pypykatz SystemInfo, ModuleList and Memory64List Streams. NTOpenProcessToken and NtAdjustPrivilegeToken to get the "SeDebugPrivilege"...

CrimsonEDR - Simulate The Behavior Of AV/EDR For Malware Development Training

CrimsonEDR is an open-source project engineered to identify specific malware patterns, offering a tool for honing skills in circumventing Endpoint Detection and Response EDR. By leveraging diverse detection methods, it empowers users to deepen their understanding of security evasion tactics...

BestEdrOfTheMarket - Little AV/EDR Bypassing Lab For Training And Learning Purposes

Little AV/EDR Evasion Lab for training & learning purposes. ️ under construction..​ | | | | | | \ / \ / | | | | | \ / / | | | | | | | | | | | | | | | | | | ' \ / \ | | | /\ \ | | || || | | || | | | | | | | | / |/||/| ||/|| \ /|| || || ||| | / | | | | | | |/| |/ | '| |/ / \ | | | | | | | |...

PyHook - An Offensive API Hooking Tool Written In Python Designed To Catch Various Credentials Within The API Call

PyHook is the python implementation of my SharpHook project, It uses various API hooks in order to give us the desired credentials. PyHook Uses frida to inject it's dependencies into the target process Supported Processes Process | API Call | Description | Progress ---|---|---|--- mstsc |...

DLLHSC - DLL Hijack SCanner A Tool To Assist With The Discovery Of Suitable Candidates For DLL Hijacking

DLL Hijack SCanner - A tool to generate leads and automate the discovery of candidates for DLL Search Order Hijacking Contents of this repository This repository hosts the Visual Studio project file for the tool DLLHSC, the project file for the API hooking functionality detour, the project file f...

RdpThief - Extracting Clear Text Passwords From Mstsc.Exe Using API Hooking

RdpThief by itself is a standalone DLL that when injected in the mstsc.exe process, will perform API hooking, extract the clear-text credentials and save them to a file. An aggressor script accompanies it, which is responsible for managing the state, monitoring for new processes and injecting the...

Detecting Adblocker Blockers

Interesting research on the prevalence of adblock blockers: "Measuring and Disrupting Anti-Adblockers Using Differential Execution Analysis": Abstract: Millions of people use adblockers to remove intrusive and malicious ads as well as protect themselves against tracking and pervasive surveillance...

Windows/x64 - API Hooking Shellcode (117 bytes)

/ Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : email protected Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks DeteleFileW API Warning: Do no Use this Shellcode on explorer.exe Otherwise You won't be able to...

Windows x64 - API Hooking Shellcode (117 bytes)

Windows x64 - API Hooking Shellcode 117 bytes. Shellcode exploit for Winx86-64 platform / Title : Windows x64 API Hooking Shellcode Author : Roziul Hasan Khan Shifat Size : 117 bytes Date : 16/10/2017 Email : [email protected] Tested On : Windows 7 Ultimate x64 / / This Shellcode hooks...