CLR-Unhook

CLR 언후킹 도구 참고: 깨끗한 CLR 효과를 보려면 디스크에서 DLL을 수동으로 메모리에 매핑해야 합니다. LoadLibraryA/W를 사용할 수 없습니다. 안티바이러스 솔루션이 DLL 로드 이벤트를 감지하고 즉시 후킹할 수 있기 때문입니다. 이 동작을 원한다면 GitHub에 있는 기존 수동 매퍼를 찾아 코드베이스에 통합할 수 있습니다. AV 업체들이 일반적으로 이를 좋아하지 않기 때문에 여기에는 포함하지 않았습니다. .NET 공용 언어 런타임에서 원래 nLoadImage 함수 구현을 복원하여 EDR/AV 후크를 우회하는...

inject-assembly

inject-assembly - 기존 프로세스에서 .NET 실행 이 도구는 Cobalt Strike의 전통적인 fork and run 실행 방식에 대한 대안입니다. 로더는 현재 Beacon을 포함한 모든 프로세스에 주입될 수 있습니다. 오래 실행되는 어셈블리는 계속 실행되며, execute-assembly의 동작과 유사하게 출력을 Beacon으로 다시 보냅니다. inject-assembly는 두 가지 구성 요소로 이루어져 있습니다: 1. BOF initializer : 인수와 함께 원격 프로세스에 어셈블리 로더를 주입하는 소형...

PowerSharpPack

후원 PowerSharpPack 유용한 공격적 CSharp 프로젝트 여러 개를 Powershell로 감싸서 쉽게 사용할 수 있도록 했습니다. 왜? 제 개인적인 의견으로는 AMSI, 스크립트 블록 로깅, 제한된 언어 모드 또는 기타 보호 기능 때문에 공격적인 Powershell이 죽은 것은 아닙니다. 이러한 메커니즘은 모두 우회될 수 있습니다. 대부분의 새로운 혁신적인 공격 보안 프로젝트가 C으로 작성되기 때문에, 저는 이를 powershell에서도 사용할 수 있도록 만들기로 결정했습니다. 그래서 기본적으로 무엇을 했을까요? 1...

ExecuteAssembly

설명: ExecuteAssembly는 CS execute-assembly의 대안으로, C/C++로 제작되었으며 .NET 어셈블리를 로드/인젝션할 수 있습니다. 호스트spawnto 프로세스에 로드된 CLR 모듈/AppDomainManager를 재사용하고, 로더/.NET 어셈블리 PE DOS 헤더를 스톰핑stomping하며, .NET 관련 모듈을 언링크unlink하고, ETW+AMSI를 우회하며, NT 정적 시스템 콜x64을 통해 EDR 후크를 회피하고, superfasthash 해싱 알고리즘으로 API를 동적 해석하여 임포트를...

CVE-2023-32571

🐞 CVE-2023-32571 - System.Linq.Dynamic.Core 원격 코드 실행 CVE-2023-32571에 대한 개념 증명Proof of Concept으로, System.Linq.Dynamic.Core1.0.7.10 1.2.25의 원격 코드 실행 취약점입니다. 이 취약점은 Where, Select, OrderBy를 포함한 메서드에 신뢰할 수 없는 입력이 파싱될 때 공격자가 임의 코드와 명령을 실행할 수 있게 합니다. ⚠️ 면책 조항 이 도구는 교육 및 승인된 테스트 목적으로만 제공됩니다. 사전 상호 동의 없이...

CVE-2026-78574

CVE-2026-78574 affects the Okta Hyperdrive Integration plugin , which resolves a required assembly via a registry path in the current user's hive without integrity verification. The assembly is loaded through Assembly.LoadFrom without signature validation, allowing an unverified assembly to execu...

Upgrading to Storefront 3.12 CU4 fails - MSI logs shows Citrix Protocol Transition service exception

When attempting to upgrade Storefront 3.12 LTSR to CU4 fails. In the Install wizard the following message is displayed: When checking the MSI Installer logs the following exception is found NOTE: MSI logs are found in C:\Windows\Temp\Storefront\CitrixMsi-CitrixStoreFront-x64-201X.-xx-xx-xx.log...