spamscanner

Node.js、コマンドライン、メールサーバー向けのスパムフィルターです。あらゆる言語のスパム、フィッシング、詐欺、マルウェアを検出し、すべての判定理由を説明し、判断が難しいケースについては言語モデルに問い合わせることができます。 spamscanner.net · はじめに · ドキュメント 機能 あらゆる言語を読み取る分類器。 単語は Unicode の規則に従って分割されるため、中国語、日本語、タイ語も英語と同様に扱えます。似た文字、不可視文字、v1agra...

wafaray

WAF + YARA WAFARAY でマルウェア検出を強化 WAFARAY は、Debian 11.3.0 安定版 x64 をベースにしたラボ環境のデプロイメントであり、WAF + YARA という2つの主要要素を組み合わせて、通常は Web 機能（ファイルアップロード）を介して悪意のあるファイル（例：ウェブシェル、ウイルス、マルウェア、バイナリ）を検出します。 -blue.svg 目的 基本的なアイデアは、WAF + YARA（YARA を右から左に読むと ARAY）を使用して、WAF がファイルをバックエンドに転送する前に、WAF...

hoaxshell

hoaxshell ⚡ 本项目的最新版本是 HoaxShell 独立监听器，它带有更新的有效载荷模板。你也可以直接从 https://revshells.com 使用（确保选择 hoaxshell 作为监听器）。 ⚠️ 截至 2022-10-18，hoaxshell 已被 AMSI 检测到（恶意软件百科）。你需要混淆生成的有效载荷才能使用。查看本视频了解如何手动混淆并绕过 MS Defender： Hoaxshell 示例 - youtube.com/watch?v=iElVfagdCD4 常见 PowerShell 反弹 shell 模板示例 -...

PwnKit-Hunter

背景 上周，polkit 的 pkexec 中公开披露了一个重大漏洞（链接）。利用该漏洞，攻击者可以在存在漏洞的主机上，轻松地从任意非特权用户获得完整的 root 权限。 在“PwnKit”漏洞公开披露之后，我们开发了简单的脚本，用于检测和检查被扫描的主机是否存在漏洞。该脚本可以帮助组织和安全团队完成一项重要任务：检查其所有基于 Linux 的机器，并确保它们不受 Polkit 漏洞的影响。 更多详细信息可在我们的博客文章中查看：...

vulnerability-spoiler-alert

脆弱性ネタバレ注意 CVEが公開される前にセキュリティパッチを知る。 ライブサイトを見る | RSSで購読する 人気のオープンソースリポジトリを監視し、AIを使用してコミットがセキュリティ脆弱性をパッチしているタイミングを検出する監視ハブです。多くの場合、CVEが割り当てられる前に行われます。結果はレトロテーマのウェブサイトとRSSフィードで公開されます。 起源とインスピレーション このプロジェクトは、Eugene Lim（@spaceraccoon）によるspaceraccoon/vulnerability-spoiler-alert-actionの使用例です。...

modsecurity-backdoor

ModSecurity 后门 描述 这是一个在 ModSecurity WAF 内部运行的恶意软件的概念验证。 该软件有两个主要功能： 获取文件内容。 运行命令并获取输出（远程 shell）。 此外，它还包括以下功能： 动态设置控制 POST 参数名称，使检测更加困难。 禁用日志记录，使检测更加困难（仅针对通过 POST 参数名称识别的攻击者 请求）。 禁用所有其他规则（仅针对通过 POST 参数名称识别的攻击者 请求）。 先决条件 支持 Lua 的 ModSecurity Lua ModSecurity 指令 SecStreamOutBodyInspection 和...

php-malware-finder

PHP Malware Finder | || || || | | | | || || | | || || || | Webshell finder, | || || | kiddies hunter, | | | |||| || | website cleaner. || || |||| Detect potentially malicious PHP files. 何を検出しますか？ PHP-malware-finder は、難読化された/怪しいコードや、マルウェア/ウェブシェルでよく使われる PHP 関数を使用しているファイルを検出するために最善を尽くします。...

zeek-xor-exe-plugin

Corelight::PEXOR Zeek 插件，用于检测并解密经过 XOR 混淆的 Windows EXE。 用于对文件进行 XOR 的密钥会被自动发现，并被用于将文件还原为原始的 Windows 可执行文件。文件去混淆后，会被传回文件分析框架进行进一步分析。 安装 从源码安装 .. code:: bash git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install 现在确认 Zeek 可以识别它： .. code:...

zeek-spicy-facefish

FacefishRootkit 该 Zeek+Spicy 分析器用于检测 Facefish Linux rootkit 的 C2，相关说明见： https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor https://thehackernews.com/2021/05/researchers-warn-of-facefish-backdoor.html...

zerologon

Zerologon 摘要 一个 Zeek 检测包，用于检测 CVE-2020-1472（也称为 Zerologon）， 这是一个针对 Windows Server 域控制器 Netlogon 协议的 CVSS 10.0 权限提升漏洞。 通知 默认情况下，两种通知都会被触发： ZerologonAttempt 表示在短时间内进行了所需次数的登录尝试。 ZerologonPasswordChange 表示上述情况发生，并且密码更改成功。 在 cluster.zeek 中，通过 redef 将 noticeonexploitonly 设为 T 后，将仅生成...

zeek-openvpn

zeek::openvpn ================================= 本项目已弃用，推荐使用 https://github.com/corelight/zeek-spicy-openvpn 一个用于在以下模式下检测和解析 OpenVPN 的插件： UDP w/ TLS UDP w/ TLS & TLS Auth TCP w/ TLS TCP w/ TLS & TLS Auth 到目前为止，该插件尚不能检测 UDP 或 TCP 的共享密钥模式。 如果此协议分析器能够解析 TLS 信息，你将在 ssl.log 中找到相关数据。TCP TLS 支持已可用，而 UDP...

CVE-2015-1635-POC

CVE-2015-1635-POC MS15-034 HTTP.sys リモートコード実行検出スクリプト（MS15-034 HTTP.sys リモートコード実行POCスクリプト） コードの7行目に検出するIPを配置し、実行してください： python CVE-2015-1635-POC.py コードの7行目に検出したIPを配置し、実行します： python CVE-2015-1635-POC.py...

detect-ransomware-filenames

Detectar nombres de archivo de ransomware Este paquete/script supervisa las transacciones SMB para buscar nombres de archivo maliciosos conocidos que el ransomware suele utilizar. Se basa en las listas de Anti-Ransomware File System Resource Manager mantenidas aquí. Cómo usar Se incluye un script...

Dashboards-Splunk-DNS-Hunting-Beaconing

DNS Hunting-Beaconing v19.2.0.0 用于搜寻和识别 Beaconing 的 DNS 仪表板 该仪表板不再使用任何第三方模块或 Splunk 查找表来识别“受信任域”。 所有这些工作都已移至 Corelight/Zeek 传感器。 然而，该仪表板确实使用两个 Splunk 查找表来识别内部和授权的 DNS 服务器。 文件 'internaldnsservers.csv' 是所有获授权与外部 DNS 服务器通信的内部 DNS 服务器的列表。 文件 'authorizeddnsservers.csv' 是所有其他设备获授权直接与之通信的 DNS 服务器的列表。...

hassh

"HASSH" - 一种用于 SSH 客户端和服务器的指纹识别方法。 注意：此 Corelight 仓库是应 Salesforce 的请求而创建的，以便其能够得到积极维护，因为 Salesforce 的原始仓库已不再维护。 "HASSH" 是一种网络指纹识别标准，可用于识别特定的客户端和服务器 SSH 实现。这些指纹可以以 MD5 指纹的形式轻松存储、搜索和共享。 HASSH 可以帮助解决什么问题： 可用于高度受控、充分了解的环境中，任何超出已知良好集合的指纹都会触发警报。 可以以比 IP 源更细的粒度检测、控制和调查暴力破解或撞库密码尝试——而 IP 源可能受到 NAT...

win-exp-

描述 该工具将目标的补丁级别与 Microsoft 漏洞数据库进行比较，以检测目标上可能缺失的补丁。如果存在针对缺失公告的公开漏洞利用程序和 Metasploit 模块，它还会通知用户。 它需要 Windows 主机的 'systeminfo' 命令输出，以便与 Microsoft 安全公告数据库进行比较，并确定主机的补丁级别。 它能够通过 --update 标志从 Microsoft 自动下载安全公告数据库，并将其保存为 Excel 电子表格。...

ripple20

"Ripple20" Treck IOT/ICS 设备发现与漏洞利用检测 v0.2 Summary: 一个用于被动检测 Treck 设备、发现/扫描尝试以及针对 Treck TCP/IP 协议栈中 "Ripple20" 系列漏洞的利用行为的 Zeek 包。 References: https://corelight.blog/2020/06/30/ripple20-zeek-package-open-sourced/ https://www.jsof-tech.com/ripple20/ 由 JSOF 提供的 python/scapy 扫描包。...

bro-shellshock

用于 Bro 的 ShellShock 检测器 这个脚本用于检测 Bash 漏洞（CVE-2014-6271，绰号 “ShellShock”）被成功利用的情况。它比目前大多数检测方案更全面，因为它会监视被攻击主机的行为，以判断其是否可能已被成功入侵，或是否确实存在漏洞。 如果发现某台主机通过 HTTP 收到攻击，Bro 会监视该主机是否会下载投放器（dropper）载荷或发送 ICMP ping。还可能出现更多响应机制，但这已足以覆盖目前大多数已知的响应机制。默认情况下，此脚本配置为监视 MIME 类型为 application/x-executable...

redxor

Linux 恶意软件 C2 'RedXOR'——一个检测示例 此软件包演示了如何使用 Zeek 以基于状态的方法检测 Linux 后门 "redXOR"。 参考链接： Corelight 博客 https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/ 在比传统 IOC（例如 C2 IP、域名和 URI）更低的层级检测威胁，能实现更稳健的检测。这很重要，因为威胁行为者往往可轻松修改这些传统因素（域名/IP/URI...

WhatWaf

WhatWaf? WhatWaf は高度なファイアウォール検出ツールであり、「WAF がいる？」という発想を提供することを目的としています。WhatWaf は、Web アプリケーション上のファイアウォールを検出し、指定されたターゲットに対してそのファイアウォールのバイパス方法を（1 つまたは 2 つ）試みます。 補足: 最新バージョンでない WhatWaf に関する Issue は、議論なしでクローズされます 追記: このプロジェクトを更新する時間はもうほとんどありません。更新は遅くなります 役立つリンク XMR マイニングによる whatwaf のサポート Issue を作成する...