PhantomCtx

PhantomCtx PhantomCtx es una herramienta que automatiza el secuestro de contextos de activación con el objetivo de cargar una DLL arbitraria en la gran mayoría de ejecutables firmados p. ej. Microsoft, Adobe, Mozilla. El cargador se presenta como una alternativa moderna al secuestro y sideloading...

FsquirtCPLPoC

Fsquirt.exe binario de Windows intenta cargar un applet del Panel de control CPL llamado bthprops.cpl desde su directorio de trabajo actual. Cuando bthprops.cpl está presente junto a fsquirt.exe, el binario lo carga y ejecuta un MessageBox desde DLLMain. Este código PoC genera un archivo...

Crassus

Herramienta de descubrimiento de escalada de privilegios Crassus para Windows Inicio rápido 1. En Process Monitor, selecciona la opción Enable Boot Logging. 2. Reinicia. 3. Una vez que hayas iniciado sesión y Windows se haya estabilizado, ejecuta Process Monitor nuevamente. 4. Cuando se te...

DLLHijackingScanner

UAC绕过 - DLL劫持 描述 这是一个利用DLL劫持和滥用“受信任目录”验证来绕过UAC的概念验证（PoC）。 摘要 从CSV生成头文件 参数 生成易受攻击的PE和DLL列表 DLLHijacking.exe 日志文件 执行 结果 test.dll 来源 从CSV生成头文件 Python脚本CsvToHeader.py可用于生成头文件。默认情况下，它将使用CSV文件dllhijackingcandidates.csv，该文件可在此处找到：dllhijackingcandidates.csv。 脚本会为每个可移植可执行文件（PE）检查以下条件： PE是否存在于文件系统中。...

TrustJack

TrustJack Otra Prueba de Concepto para https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows Entrada de blog: https://redteamer.tips/?p=108 Para usar con un cmd que haga lo que quieras, para un dll que lanza cmd, https://github.com/jfmaes/CMDLL. consulta la lista en el sitio de wietze para...

CVE-2018-8090

CVE-2018-8090 Secuestro de DLL en Quick Heal Total Security/Internet Security/Antivirus Pro Instaladores Productos afectados: Quick Heal Total Security - 17.00 Quick Heal Internet Security - 17.00 Quick Heal AntiVirus Pro - 17.00 Instaladores afectados: Quick Heal Total Security 64 bits 17.00...

IOBitMalwareFighterDLL

Malware Fighter LPE 0 day LPE que encontré en IObit Malware Fighter v. 13.2.0. Writeup: https://nathan2.com/files/iobit.pdf Información general: https://nathan2.com/posts/iobit/ Compila la DLL como x86 y nómbrala Register.dll. Luego colócala en el Path de tu sistema. Por defecto, esa ruta es...

DLLHijackHunter

DLLHijackHunter Por ProjectMerai Descubrimiento, Validación y Confirmación Automatizada de DLL Hijacking Convirtiendo configuraciones locales erróneas en rutas de ataque armadas y confirmadas. Descripción General DLLHijackHunter es una herramienta automatizada de detección de DLL hijacking en...

CVE-2017-8464-exp-generator

CVE-2017-8464-exp-generator esta herramienta puede generar un exploit para CVE-2017-8486, está desarrollada en Python Usage: CVE-2017-8464.py dllname luego se generarán 26 archivos llamados A.lnk, B.lnk, ...., Z.lnk luego solo necesita poner el archivo dll en cualquiera de los discos A:/, B:/,...

KINGSOFT-WPS-Office-LPE

Aviso de JVN https://jvn.jp/en/vu/JVNVU90673830/ Se ha asignado el siguiente número CVE: CVE-2022-25943 KINGSOFT WPS Office LPE WPS Office es una suite ofimática para Microsoft Windows, macOS, Linux, iOS, Android y HarmonyOS desarrollada por el desarrollador de software chino Kingsoft, con sede e...

CompMgmtLauncher_DLL_UACBypass

CompMgmtLauncher y Sharepoint: secuestro del orden de búsqueda de DLL UAC/persistencia vía OneDrive CompMgmtLauncher.exe es vulnerable a una vulnerabilidad de secuestro del orden de búsqueda de DLL. El binario realizará una búsqueda dentro del entorno de usuario de las DLL Secur32.dll o Wininet.d...

Analysis

Detection Engineering Notes and Analysis This repository documents hands on detection research based on lab testing, log analysis, and real SOC workflows. The focus is on how attacker techniques actually appear in logs, what detection logic works in practice, what fails, and where false positives...

CVE-2020-3153

CVE-2020-3153 Cisco AnyConnect 4.8.02042 escalación de privilegios mediante path traversal Descripción La función de actualización automática de Cisco AnyConnect se ve afectada por una vulnerabilidad de path traversal. Un atacante puede explotar esta vulnerabilidad para obtener privilegios a nive...

DropSpawn_BOF

DropSpawn Introducción DropSpawn es un BOF de CobaltStrike utilizado para lanzar Beacons adicionales mediante un método relativamente desconocido de secuestro de DLL. Funciona x86-x86, x64-x64, y x86-x64/viceversa. Úsalo como alternativa a la inyección de procesos. Los ejecutables de Windows...

HijackLibs

HijackLibs Este proyecto tiene como objetivo mantener un registro de las oportunidades de secuestro de DLL divulgadas públicamente. Puede encontrar la versión web de este repositorio en https://www.hijacklibs.net. Licencia : GPLv3.0 Código de Conducta : Contributor Covenant Guía de contribución...

CVE-2024-57394

CVE-2024-57394 Se identificó una vulnerabilidad en el Sistema de Gestión de Seguridad de Terminales Qi-ANXIN Tianqing probado en la versión 10.0. Esta vulnerabilidad permite a usuarios con pocos privilegios restaurar un archivo en cuarentena a una ubicación arbitraria, como C:\Windows\System32. U...

Robber

Robber — Escáner de secuestro de DLL Herramienta gratuita y de código abierto para encontrar oportunidades de secuestro de DLL en ejecutables de Windows. Sin dependencias de terceros. Lo que hace Windows carga DLLs buscando en un conjunto fijo de directorios en orden: primero el directorio del...

CVE-2022-27502

RealVNC server hasta 6.9.0 Exploit de secuestro de DLL CVE-2022-27502 Puedes usar la versión precompilada 64 bits desde AQUÍ Cópialo a %TEMP% e inicia una reparación de RealVNC Server desde agregar o quitar programas. Escribirá la salida del comando whoami en %TEMP%\output.txt Si quieres cambiar ...

ClickOnceBlobber

Kit de Inyección AppDomainManager para ClickOnce Armar aplicaciones .NET ClickOnce firmadas para acceso inicial mediante el secuestro de una DLL dependiente a través de inyección AppDomainManager y la carga de un puerto C del Agente ProxyBlob. Incluye un puerto C de ProxyBlob — un proxy SOCKS5 qu...

CVE-2022-25943

CVE-2022-24934 Resumen de la vulnerabilidad Durante la instalación de WPS Office, el servicio wpscloudsvr se instala con privilegios de administrador. Este servicio está configurado para iniciarse manualmente, pero la lista de control de acceso ACL de la carpeta donde reside el servicio está...