MultiDump

MultiDump MultiDumpは、C言語で書かれたポストエクスプロイテーションツールで、DefenderのアラートをトリガーせずにLSASSメモリを目立たずダンプ・抽出するためのもので、Pythonで書かれたハンドラを備えています。 ブログ記事: https://xreous.io/posts/multidump MultiDumpは、ProcDump.exeまたはcomsvc.dllを介したLSASSダンプをサポートし、2つのモードを提供します。ローカルモードではダンプファイルを暗号化してローカルに保存し、リモートモードではダンプをハンドラに送信して復号化・分析を行います。 使...

BlueSAM

BlueSAM BOF Cobalt StrikeのBeacon Object FileとしてBlueHammerを移植したもので、Windows Defenderのアップデート/VSS動作を介してSAMデータベースのコピーを取得し、Beaconからオフラインのレジストリデータを処理しようとします。 元のPoCはNightmare-Eclipse氏のBlueHammer（https://github.com/Nightmare-Eclipse/BlueHammer）に感謝します。 始め方 1. リポジトリをクローンする 2. make を実行する 使用方法 1...

KslDump

KslDump - BMVD（自带微软易受攻击驱动程序） 重要背景 我于2026年3月7日 向微软报告了该问题。然而，大约20天前，游戏破解社区已经逆向并公开讨论了它。就我而言，我并未关注他们的项目，对此毫不知情。很明显，这是两个完全独立且不相关的项目。 参考资料 Avantguard 博客文章 既然 Defender 已经留了一把刀在厨房，何必自备刀具？ KslDump 仅使用微软签名的组件从 PPL 保护的 LSASS 中提取凭据。无需部署漏洞，无需加载驱动程序。整个攻击链随 Windows Defender 预装。微软通过将 MmCopyMemory...

Threat-Hunting

脅威ハンティング | 検知エンジニアリング 以下のための脅威ハンティング および検知クエリ のコレクション: CrowdStrike Falcon CQL – CrowdStrike Query Language を使用 Microsoft Defender XDR KQL – Kusto Query Language を使用 不審なプロセス、異常なネットワーク動作、LOLBins Living-off-the-Land バイナリ、永続化メカニズム、資格情報アクセス、横移動、C2活動、および潜在的なAPT 行動を発見することを目的としています。可能な限りMITRE ATT...

WDExtract

WDExtract vdmファイルからWindows Defenderデータベースを抽出し、展開する このプログラムは現状のまま配布され、いかなる保証もありません。 公式サポートはありません。このツールが気に入ったら、自由に貢献してください。 機能 Windows Defender/Microsoft Security EssentialsのVDMコンテナを展開します。 Malicious Software Removal Tool MRT.exe に埋め込まれたVDMコンテナを復号します。 展開せずに生のRMDXコンテナを抽出します（-ecスイッチ）。...

RoguePlanet

RoguePlanet RoguePlanet Windows Defender の脆弱性 みなさん、おかえりなさい！！！ このエクスプロイトは競合状態（レースコンディション）を利用するため、当たるか外れるかといったところです。一部のマシンでは100%の成功率を達成できましたが、他のマシンではうまく動作しないこともありました。 このエクスプロイトは、Windows 11（公式チャネル + Canary）と、2026年6月のパッチが適用されたWindows 10でテストされています。ただし、PoCはWindows...

ThreatCheck

ThreatCheck Matterpreter's の DefenderCheck の修正版です。 バイナリを入力として（ディスク上のファイルまたはURLから）受け取り、それを分割して、対象エンジンがフラグを立てる正確なバイトを特定し、画面に表示します。これは、ツール/ペイロード内の特定の悪意のあるコードを特定しようとする際に役立ちます。 root@kitploit: C:\ThreatCheck.exe --help -e, --engine Default: Defender Scanning engine. Options: Defender, AMSI -f, --file...

GreatXML

GreatXML GreatXML BitLocker 绕过漏洞 复现步骤， 1. 如果受害者机器上曾启动过 Defender 离线扫描，则无需登录，机器自动处于易受攻击状态。你需要将 "unattend.xml" 和 "Recovery" 目录复制到恢复分区的根目录，然后使用 shift + 点击重启按钮重启到 WinRE，如果一切操作正确，将生成一个对 BitLocker 卷具有无限制访问权限的 shell。 2. 如果从未启动过 Defender 离线扫描，则你需要要么登录并自行启动扫描，要么找到一种方法以离线扫描状态启动到...

PPLBlade

PPLBlade 保護プロセスダンパーツール。メモリダンプの難読化と、ディスクに保存せずにリモートワークステーションへ転送をサポートします。 主な機能 : 1. PPL保護のバイパス 2. メモリダンプファイルを難読化し、Defenderのシグネチャベース検出メカニズムを回避 3. RAWおよびSMBアップロード方式でメモリダンプをディスクに保存せずにアップロード（ファイルレスダンプ） 本ツールで使用されるテクニックの概要はこちら:...

CyberBattleSim

CyberBattleSim 2021年4月8日：请参阅 Microsoft 安全博客上的公告。 CyberBattleSim 是一个实验研究平台，用于研究在模拟的抽象企业网络环境中运行的自动化智能体的交互行为。该模拟提供了计算机网络和网络安全概念的高层抽象。其基于 Python 的 OpenAI Gym 接口支持使用强化学习算法训练自动化智能体。...

django-defender

django-defender .. image:: https://jazzband.co/static/img/badge.svg :target: https://jazzband.co/ :alt: Jazzband .. image:: https://img.shields.io/pypi/pyversions/django-defender.svg :alt: 対応Pythonバージョン :target: https://pypi.org/project/django-defender/ .. image::...

Invoke-DumpMDEConfig

DumpMDEConfig PowerShell スクリプト 概要 Invoke-DumpMDEConfig は、Microsoft Defender の構成とログを抽出して表示するように設計された PowerShell スクリプトです。除外パス、有効な ASR ルール、許可された脅威、保護履歴、Exploit Guard の保護履歴などを含みます。このスクリプトには、データをテーブル形式または CSV 形式で出力するオプションがあります。 使用方法 root@kitploit: To run the script and output the results in list forma...

CVE-2026-50656-rogueplanet-validation

RoguePlanet PoC 検証レポート Microsoft Defender 向け レポートの目的と範囲 本レポートは、Microsoft Defender に関連して公開された RoguePlanet PoC の検証に関するものです。説明されている手法は、2026年6月10日にメディアでローカル権限昇格（LPE）として発表されました。ローカルユーザーが NT AUTHORITY\SYSTEM 権限を取得できる可能性があるとされています。公開された説明では、Microsoft Defender がファイルを処理またはスキャンする際に使用する関数を利用するメカニズムであるとされていま...

CVE-2026-41091-PoC-Exploit

☀️ CVE-2026-41091 - RedSun SolarFlare - Microsoft Defender LPE エクスプロイト Microsoft Defender リンクフォローイング脆弱性 - NT AUTHORITY\SYSTEM へのローカル特権昇格 この脆弱性は "RedSun" 🎯 として知られており、"SolarFlare" は私がエクスプロイトに付けた名前です。 ✅ 📌 概要 このリポジトリには、Microsoft Defender Microsoft Malware Protection Engine における重大なローカル特権昇格脆弱性...

CVE-2026-33825

🔨 CVE-2026-33825: BlueHammer Microsoft Defender 权限提升漏洞 📌 概述 CVE-2026-33825 漏洞，绰号 "BlueHammer" ，是 Microsoft Defender 威胁修复引擎中的一个严重的本地权限提升 EoP 缺陷。 🚨 严重影响： 它允许拥有最低权限的用户在完全修补的 Windows 10 和 11 系统上获得完整的 SYSTEM 级别访问权限。 发现时间： 该漏洞于 2026 年 4 月 7 日 被一位化名为 "Chaotic Eclipse" 的研究人员作为零日漏洞公开披露，早于 Microsoft 发布官方补丁...

FUD-UUID-Shellcode

FUD-UUID-Shellcode はじめに C++ を使用した別のシェルコードインジェクション手法で、XOR 暗号の魔術と UUID 文字列の 狂気 を使って Windows Defender を回避しようと試みます :。 動作の仕組み シェルコードの生成 まず、バイナリ形式でペイロードを生成します（Havoc、CobaltStrike、msfvenom のいずれかを使用）。例えば msfvenom では以下のように行います（使用しているペイロードは 説明用 です。任意のペイロードを使用できます）： root@kitploit: msfvenom -p...

Azure-Sentinel

Microsoft Sentinel および Microsoft 365 Defender Microsoft Sentinel と Microsoft 365 Defender の統合リポジトリへようこそ！このリポジトリには、すぐに使える検出、探索クエリ、ハンティングクエリ、ブック、プレイブックなどが含まれており、Microsoft Sentinel の導入を迅速に進め、環境を保護して脅威を追跡するためのセキュリティコンテンツを提供します。ハンティングクエリには、Microsoft 365 Defender および Microsoft Sentinel...

DNS_Tunneling

介绍 受我近期参与的一个涉及 Cobalt Strike DNS 信标的工作启发，结合尝试绕过 Microsoft Defender for Endpoint 的任务目标，我花了一些时间研究如何利用 DNS 将载荷传输到目标机器。我还进一步挑战自己，尝试在 PowerShell 处于受限语言模式时也能实现这一目标。这项研究主要针对较新的 Windows 版本（例如 Windows 10+、Server 2019+），但正如你稍后所见，较低版本也可能实现。 背景 什么是 DNS 隧道？ DNS 隧道是一项历史悠久的技术，被多种攻击者使用。简单来说，它利用 DNS...

azure-sentinel-detection-engineering

Azure Sentinel Detection Engineering 私が運用しているライブなMicrosoft SentinelおよびDefender XDR環境での検出エンジニアリング。9つのカスタム分析ルールが3つのプレーンにまたがり、それぞれがMITRE ATT&CKにマッピングされ、エンドツーエンドで実証されています。制御されたアクションがルールをトリガーし、ルールがインシデントを生成し、インシデントが調査および文書化されます。7つはAzure コントロールプレーン...

CVE-2023-36003

CVE-2023-36003：Windows Defender 利用保护绕过 PoC 本仓库包含 CVE-2023-36003 的概念验证（PoC），这是一个影响 Windows Defender 利用保护的关键安全功能绕过漏洞。 概述 CVE-2023-36003 是 Windows Defender 中的一个漏洞，允许攻击者绕过旨在防止漏洞执行的缓解功能。成功利用后，恶意软件或恶意代码可规避标准的利用保护机制，从而增加系统被成功入侵的风险。 漏洞类型： 安全功能绕过 受影响组件： Windows Defender / 利用保护 发现/记录日期： 2023 年 11 月（微软补丁星期二...