FsquirtCPLPoC

Fsquirt.exe Windows 二进制文件会从当前工作目录尝试加载一个名为 bthprops.cpl 的控制面板小程序 CPL。当 bthprops.cpl 与 fsquirt.exe 位于同一目录时，该二进制文件会加载它，并从 DLLMain 中执行一个 MessageBox。 该 PoC 代码生成一个恶意的 bthprops.cpl 文件，该文件可由 fsquirt.exe 加载。附带的 build.sh 脚本会为您编译该 CPL 模块。...

DllShimmer

DllShimmer Facilita el secuestro de DLLs. Inyecta tu código en cualquier función de cualquier DLL sin alterar el funcionamiento normal del proceso. Cómo funciona DllShimmer analiza la DLL original y extrae información sobre las funciones exportadas nombre, número ordinal e información de reenvío...

HijackLibs

HijackLibs 该项目旨在记录公开披露的 DLL 劫持机会。 您可以在 https://www.hijacklibs.net 上找到此仓库的网页版本。 许可证 : GPLv3.0 行为准则 : Contributor Covenant 贡献指南 YAML Schema 项目使用的模式 YAML 模板示例 HijackLibs Helper 由 @JPMinty 开发...

CVE-2023-34312-exp

声明 本项目仅为用作复现实验所创建 影响版本 QQ 9.6.2.27855 9.7.11.29088（除了QQ 9.7.10，因为不带QQProtect.exe好像） TIM 3.4.5.22071 3.4.7.22084 使用方法 安装QQ/TIM后，然后要使两个恶意dll与QQprotect.exe处于同一文件夹 root@kitploit: QQProtect.exe evil.dll...

POC-of-CVE-2022-36271

CVE-2022-36271 的 POC 受影响产品名称：Outbyte PC Repair Installation File 受影响版本：1.7.112.7856 条目CVE ID：CVE-2022-36271 描述：iertutil.dll 缺失，因此攻击者可以使用同名的恶意 DLL 并获得管理员权限，还可以在受害者机器上实现持久化。 漏洞类型：DLL劫持 这是 CVE-2022-36271 的有效 POC...

aDLL

aDLL - Adventure of Dinamic Lynk Library aDLLは、DLL Hijackingの脆弱性を自動的に発見することに特化したバイナリ解析ツールです。このツールは、メモリにロードされたバイナリのイメージを解析し、ロード時に読み込まれるDLLを検索します。また、Microsoft Detoursライブラリを使用してLoadLibrary/LoadLibraryEx関数の呼び出しをフックし、実行時に読み込まれるDLLを解析します。目的は、実行可能ファイルが検索されるフォルダ内で見つからないDLLのリストを取得することです。 はじめに...

PhantomCtx

PhantomCtx PhantomCtx 是一款自动化 激活上下文（Activation Context） 劫持的工具，其目标是在绝大多数已签名可执行文件（例如 Microsoft、Adobe、Mozilla）中加载任意 DLL。 该加载器被定位为传统 DLL 劫持与侧加载（DLL Hijacking & Sideloading） 的现代替代方案：与传统方法不同，它不需要存在易受攻击的二进制文件。只要目标可执行文件 通过其导入地址表（Import Address Table, IAT）解析 DLL ，或者在最坏情况下通过 LoadLibrary 且不使用绝对路径来解析...

CVE-2022-25943

CVE-2022-24934 Resumen de la vulnerabilidad Durante la instalación de WPS Office, el servicio wpscloudsvr se instala con privilegios de administrador. Este servicio está configurado para iniciarse manualmente, pero la lista de control de acceso ACL de la carpeta donde reside el servicio está...

DLLHijackHunter

DLLHijackHunter By ProjectMerai 自動化されたDLLハイジャックの発見、検証、確認 ローカルの設定ミスを、武器化された確定済みの攻撃経路へと変える。 概要 DLLHijackHunter は、静的解析を超えた自動化されたWindows DLLハイジャック検出ツールです。多段階パイプラインを使用して、DLLハイジャックの機会を発見、検証、確認します： 1. 発見 — サービス、スケジュールタスク、スタートアップ項目、COMオブジェクト、AutoElevate UACバイパスベクターにわたるバイナリを列挙します 2. フィルタリング —...

ClickOnceBlobber

Kit de Inyección AppDomainManager para ClickOnce Armar aplicaciones .NET ClickOnce firmadas para acceso inicial mediante el secuestro de una DLL dependiente a través de inyección AppDomainManager y la carga de un puerto C del Agente ProxyBlob. Incluye un puerto C de ProxyBlob — un proxy SOCKS5 qu...

CVE-2017-8464-exp-generator

CVE-2017-8464-exp-generator esta herramienta puede generar un exploit para CVE-2017-8486, está desarrollada en Python Usage: CVE-2017-8464.py dllname luego se generarán 26 archivos llamados A.lnk, B.lnk, ...., Z.lnk luego solo necesita poner el archivo dll en cualquiera de los discos A:/, B:/,...

Crassus

Crassus Windows 権限昇格発見ツール クイックスタート 1. Process Monitor で、Enable Boot Logging オプションを選択します。 2. 再起動します。 3. ログインして Windows が落ち着いたら、もう一度 Process Monitor を実行します。 4. プロンプトが表示されたら、ブートログを保存します（例：raw.PML）。 5. Ctrl-R を使用して、デフォルトの Process Monitor フィルターをリセットします。 6. このログファイルを保存します（例：boot.PML）。 7. Crassus.exe...

CVE-2022-3368

CVE-2022-3368 针对Avira Security软件更新组件中任意文件移动漏洞的概念验证（PoC）。 用户可选择使用此功能更新PC上任何过时的软件，当使用此功能时，Avira Security服务会将下载的文件放置在 c:\ProgramData\Avira\Security\Temp 目录下。首先在子目录中创建的文件格式为 ，随后此文件会被移动到仅...

Robber

Robber — DLLハイジャックスキャナー Windows実行ファイルにおけるDLLハイジャックの機会を見つけるための無料のオープンソースツール。サードパーティ依存関係はありません。 機能概要 Windowsは、DLLを固定された一連のディレクトリを順に検索して読み込みます。まず実行ファイル自身のディレクトリ、次にSystem32、Windows、PATHエントリです。DLLがシステムディレクトリに見つからない場合、そのチェーンのより前のディレクトリに書き込み可能な攻撃者は、悪意のあるコピーを配置し、代わりに読み込ませることができます。...

TrustJack

TrustJack Windows での DLL ハイジャッキングに関する別の PoC ブログ記事: https://redteamer.tips/?p=108 使用するには、任意のコマンドを実行できる cmd と、コマンドプロンプトを起動する DLL が必要です。DLL は https://github.com/jfmaes/CMDLL から入手できます。 DLL の呼び出し方法については、wietze のサイトのリストを確認してください。 自動的に c:\Windows \System32 を作成し、そこに DLL と選択したバイナリを配置し、実行します。 終了後は、もう一度...

Analysis

检测工程笔记与分析 此仓库记录了基于实验室测试、日志分析和真实SOC工作流的实操检测研究。 重点在于攻击技术在实际日志中的呈现方式、哪些检测逻辑在实践中有效、哪些会失效，以及误报在何处产生。所有内容均从防御视角编写，面向分析师和检测工程师。 这不是攻击性工具或漏洞利用开发。 此仓库包含的内容 DLL劫持与侧载 针对Windows系统上DLL劫持与侧载活动的分析与检测笔记。 涵盖的主题： 合法可执行文件如何加载恶意DLL 侧载过程中常被滥用的常见执行路径 进程执行、文件创建与镜像加载事件之间的关联 基于行为的检测逻辑，而非文件名匹配 真实测试中观察到的误报 已识别的常见误报：...

Evasor

Overview The Evasor is an automated security assessment tool which locates existing executables on the Windows operating system that can be used to bypass any Application Control rules. It is very easy to use, quick, saves time and fully automated which generates for you a report including...

CVE-2019-16784-POC

CVE-2019-16784 POC これは、--onefile オプションに存在する Windows PyInstaller バージョン 3.6 未満の脆弱性に対する私のPOCです。攻撃者は、pyinstaller バイナリで使用される Python インタプリタ DLL がインポートする DLL をハイジャックすることで、コマンド実行や可能性として LPE を達成できます。脆弱性と悪用プロセスの簡単な説明を以下に示します。Alter Solutions が脆弱性を発見し、PagedOut 3 PDF の 55 ページ にその発見について執筆してくれたことに感謝します。 脆弱性...

CVE-2025-56383-Proof-of-Concept

Notepad++ v8.8.3 tiene una vulnerabilidad de secuestro de DLL DLL hijacking que permite reemplazar el archivo DLL original para ejecutar código malicioso. El método de ejemplo es el siguiente: Tenga en cuenta que la siguiente demostración utiliza npp.8.8.3.Installer.x64.exe para instalar Notepad+...

DLLHijackingScanner

UAC绕过 - DLL劫持 描述 这是一个利用DLL劫持和滥用“受信任目录”验证来绕过UAC的概念验证（PoC）。 摘要 从CSV生成头文件 参数 生成易受攻击的PE和DLL列表 DLLHijacking.exe 日志文件 执行 结果 test.dll 来源 从CSV生成头文件 Python脚本CsvToHeader.py可用于生成头文件。默认情况下，它将使用CSV文件dllhijackingcandidates.csv，该文件可在此处找到：dllhijackingcandidates.csv。 脚本会为每个可移植可执行文件（PE）检查以下条件： PE是否存在于文件系统中。...