mimikatz-missing-manual

Mimikatzの欠落マニュアル Windows ID、Kerberos、PKI研究のための決定版ガイド。 本教材は、もともとセキュリティカンファレンス向けの非公開の高水準トレーニングカリキュラムとして開発されましたが、現在は一般公開されています。ここで文書化されている技術的な深さと内部ロジックの多くは、Mimikatzの作者であるBenjamin Delpy 氏の直接の協力と洞察によって洗練されました。 本マニュアルについて...

DPAPISnoop

DPAPISnoop 一个 C 工具，用于从用户 MasterKey 和 CREDHIST 文件中提取可破解的 DPAPI 哈希。 同时针对 MasterKey（$DPAPImk$）和完整 CREDHIST 链（$credhist$），支持本地路径和远程 SMB 共享。 它提取什么 MasterKey 哈希（$DPAPImk$） 每个用户的 MasterKey 位于 \Users\AppData\Roaming\Microsoft\Protect\ 下。 破解后可获得用户的域密码，并解锁该时期内所有受 DPAPI 保护的数据。 哈希版本取决于操作系统： 版本 1 — 3DES +...

DonPAPI

DonPAPI DonPAPIは、防御回避を考慮して、複数のWindowsコンピュータ上でリモートでシークレットのダンプを自動化します。 収集される認証情報: Chromiumブラウザの認証情報、Cookie、Chrome Refresh Token Windows証明書 資格情報マネージャー Firefoxブラウザの認証情報とCookie MobaXtermの認証情報 MRemoteNgの認証情報 RDC Managerの認証情報 デスクトップとRecentフォルダのファイル SCCMの認証情報 Vaultsの認証情報 VNCの認証情報 WiFiの認証情報...

VeeamDumper-BOF

Veeam Dumper BOF 一个用于 Veeam Backup and Replication 和 Veeam One 的凭据提取 BOF，由 @MWRCyberSec 的 Stephen Munro 和 Logan Kroeger 编写。该 BOF 需要在 Veeam One 或 Veeam Backup and Replication 服务器的 Admin beacon 中执行，并支持 Cobalt Strike 和 Outflank C2。 root@kitploit: tldr; The BOF uses sqlcmd.exe/psql.exe to extract...

pypykatz

🚩 Sponsors If you like this project, consider purchasing licenses of OctoPwn, our full pentesting suite that runs in your browser! For notifications on new builds/releases and other info, hop on to our Discord pypykatz Mimikatz implementation in pure Python. At least a part of it : Runs on all OS...

chlonium

Chlonium Chlonium 是一款用于克隆 Chromium Cookie 的应用程序。 从 Chromium 80 及更高版本开始，Cookie 使用 AES-256 GCM 加密，并使用存储在 Local State 文件中的状态密钥。该状态密钥通过 DPAPI 加密。这与旧版本不同，旧版本使用 DPAPI 对 Cookie 数据库中的每个 Cookie 项进行单独加密。这意味着，如果你拥有状态密钥，就可以随时离线解密 Cookie 数据库，无需持续访问 DPAPI 密钥。 这实际上使 Cookie...

chlonium

Chlonium Chlonium is an application designed for cloning Chromium Cookies. From Chromium 80 and upwards, cookies are encrypted using AES-256 GCM, with a state key which is stored in the Local State file. This state key is encrypted using DPAPI. This is a change from older versions, which used DPA...

solarflare

solarflare Credential Dumping Tool for SolarWinds Orion Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Credit to @asolino, @gentilkiwi, and @skelsec for helping me figuring out DPAPI. root@kitploit: ============================================...

solarflare

solarflare Herramienta de volcado de credenciales para SolarWinds Orion Publicación en blog: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Créditos a @asolino, @gentilkiwi y @skelsec por ayudarme a descifrar DPAPI. root@kitploit:...

lsawhisper-bof

LSA Whisperer BOF Cobalt Strike Beacon Object File BOF のポートである LSA Whisperer のツールで、LSAの信頼済み/未信頼クライアントインターフェースを通じてWindows認証パッケージと直接通信し、PPLやCredential Guardが有効な場合でもLSASSプロセスメモリに触れません。 存在理由 Evan McBroom SpecterOps による LSA Whisperer は、DPAPI資格情報キーの復元、クラウドSSOトークンの抽出、Kerberosとのやり取りを、すべて正当な...

LaZagneForensic

LaZagne プロジェクト !!! 説明 LaZagne プロジェクト が帰ってきました !!! LaZagne は、 CryptUnprotectData という内部 Windows 関数を使用してユーザーパスワードを復号します。この API は被害ユーザーセッション上で呼び出す必要があり、そうでなければ動作しません。コンピュータが起動していない場合（オフラインでマウントされたディスク上で分析を行う場合）、またはリモートホストにバイナリをドロップしたくない場合、パスワードを取得できません。 この問題を回避するために LaZagneForensic が作成されました。この作業は主に、...

SharpDPAPI

SharpDPAPI SharpDPAPIは、@gentilkiwi 氏の Mimikatz プロジェクトからのDPAPI機能の一部をCに移植したものです。 このロジックは私が考案したものではなく、Mimikatzからの単なる移植であり、プロセスをより深く理解し、私たちのワークフローに適合するように運用化するためのものです。 SharpChrome サブプロジェクトは、@gentilkiwi 氏と @djhohnstein 氏の、特に彼の SharpChromeプロジェクト の成果を応用したものです。ただし、このバージョンのSharpChromeでは、ロックレスオープン をサポートする ...

tofu

tofu オフラインのWindowsファイルシステムをハッキングし、ログイン画面をバイパスするためのモジュラーツール。ハッシュダンプ、OSKバックドア、ユーザー列挙などが可能です。 動作の仕組み : Windowsマシンがシャットダウンされると、Bitlockerや他の暗号化サービスが有効になっていない限り、ストレージデバイスには、ロック解除された状態と同じようにデバイスに保存されているすべてのデータが含まれています。つまり、起動可能なUSBからオペレーティングシステムを起動してファイルにアクセスしたり、ファイルシステムを別のコンピュータに接続したりすることができます。...

dploot

dploot dploot is Python rewrite of SharpDPAPI written in C by Harmj0y, which is itself a port of DPAPI from Mimikatz by gentilkiwi. It implements all the DPAPI logic of these tools, but this time it is usable with a python interpreter and from a Linux environment. If you don't know what is DPAPI,...

dpapi-ng

dpaping - Python DPAPI-NG 解密/加密库 一个用于 DPAPI NG（也称为 CNG DPAPI）在 Python 中进行解密和加密的库。 它旨在模拟 NCryptUnprotectSecret 和 NCryptProtectSecret 的行为。 它可以在非 Windows 主机上用于解密/加密受 DPAPI NG 保护的机密，例如 PFX 用户保护的密码，或 LAPS 加密的密码。 它既可以使用域根密钥的离线副本来解密任何 DPAPI NG blob，也可以使用所提供用户的凭据通过 RPC 检索所需信息，从而进行解密/加密。 目前仅支持以下保护描述符： 类型|...

CacheData_decrypt

CacheDatadecrypt Un simple kit de herramientas para hacer fuerza bruta y descifrar el CacheData de Windows EntraId. root@kitploit: usage: decryptcachedata.py -h pin,password ... CacheData bruteforcer. On a live windows host, to copy the folders with all subfolders and files: xcopy /H /E /G /C as...

MAL-2026-12513 Malicious code in async-mutex-lock (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e195fef439eb6af3d28576857a30030e4bd839406fa36b2f939279743f12188e The package is advertised as a mutex-lock utility but ships none of the documented API no Mutex/lock/unlock. Its sole export, getPlugin in index.js,...

MAL-2026-11123 Malicious code in @yancyyu/agentcli (npm)

The npm package @yancyyu/agentcli ships a Feishu/Lark credential stealer. An auto-started telemetry worker src/main/telemetry/worker.ts, started via agentcli init/agentcli usage start and macOS launchd calls safeScanLarkCredentials in its periodic run loop; the scan reads and decrypts local Lark...

MAL-2026-10925 Malicious code in tilaver-mfa (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 8713506d95648bc2ee9d15418c356259ca9f1d10fb305fd546e3d38c911aea0e index.js is a heavily obfuscated custom VM-bytecode dispatcher with 0x-style identifiers Windows infostealer that executes on module load. It...

Malicious code in cold-debug-elevator (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector cae8ef53b42bfe7f208c404e2e973600fa174f41c5a2009814f5f0e892769195 The package presents itself as a debugging utility but its exported API is a browser credential stealer targeting installer-owned secrets. The...