bincrypter

为你的程序提供隐私与版权保护 使用 BASH 编写的 Linux 二进制运行时加密器！ 混淆并加密任意 ELF 二进制文件 混淆并加密任意 SHELL 脚本 AV/EDR 克星：每次都会变形并生成不同特征 100% 内存运行，无临时文件 不污染文件系统 对同一二进制文件（或其自身）进行双重或三重加密 生成的二进制文件经过深度混淆（string 只能看到乱码） Living off the Land（LotL）：仅需 /bin/sh + perl + openssl 架构无关：适用于 x8664、aarch64、arm6、mips 等... 锁定...

peda

peda PEDA - Python Exploit Development Assistance for GDB Key Features: Enhance the display of gdb: colorize and display disassembly codes, registers, memory information during debugging. Add commands to support debugging and exploit development for a full list of commands use peda help: aslr --...

goblin

libgoblin Documentation https://docs.rs/goblin/ changelog Usage Goblin requires rustc 1.85.0 Rust 2024 edition. Add to your Cargo.toml dependencies goblin = "0.10" Features awesome crate name zero-copy, cross-platform, endian-aware, ELF64/32 implementation - wow! zero-copy, cross-platform,...

goblin

libgoblin 文档 https://docs.rs/goblin/ 变更日志 使用 Goblin 需要 rustc 1.85.0（Rust 2024 版本）。 在 Cargo.toml 中添加： dependencies goblin = "0.10" 特性 超棒的 crate 名称 零拷贝、跨平台、端序感知的 ELF64/32 实现——哇！ 零拷贝、跨平台、端序感知的 32/64 位 Mach-o 解析器——好家伙！ PE 32/64 位解析器——咚！ 支持 Unix 和 BSD 风格的存档解析器（后者感谢 @willglynn）——万岁！ 多种 cfg...

objdump-Out-Of-Bounds-write

GNU Binutils objdump — 越界写入 → FSOP → 任意代码执行 目标： GNU Binutils（截至 HEAD 的所有版本）— objdump 环境： Debian 13 Trixie、glibc 2.41、x8664 影响： 任意代码执行 攻击途径： 由 objdump -g 处理的恶意构造 ELF 文件 ASLR： 已绕过（确定性 mmap 偏移量） 致谢 衷心感谢 bikini 的公开提及，以及他在这项发现上秉持的公平态度。他是个很棒的人，我有幸与他交流过，他自己也做出了一些了不起的发现。快去瞧瞧他的成果吧！ 漏洞 根本原因 — bfd/elf32-dlx...

ASLRay

ASLRay Linux ELF x32/x64 ASLR DEP/NX 绕过利用，采用栈喷射技术 属性： ASLR 绕过 DEP/NX 绕过 跨平台 极简 简洁 不可修补 依赖条件： Linux 2.6.12+ - 可在任何基于 x86-64 的 Linux 操作系统上运行 BASH - 整个脚本 局限性： 对于 x64，栈需要可执行 -z execstack 二进制文件必须通过本地参数进行利用（不能通过文件、套接字或输入） 不支持其他架构和操作系统（TODO） 需要知道缓冲区限制/大小 工作原理 你可能听说过堆喷射攻击？嗯，栈喷射与其类似，但在大多数情况下被认为不实用，尤其是在...

SSMA

SSMA SSMA 是一个用 Python 3 编写的简单恶意软件分析器。 功能特性： 分析 PE 文件的头部和节（节的数量、节/PE 文件的熵、可疑的节名称、PE 文件特性中的可疑标志等） 分析 ELF 文件用于 Linux 恶意软件分析，它使用各种开源工具（ldd、readelf、strings）来显示 ELF 头部结构、ASCII/UNICODE 字符串、共享对象、节头、符号表等。 在文件的字符串中搜索可能的域名、电子邮件地址、IP 地址。 根据 abuse.ch 的勒索软件域名黑名单和 malwaredomains.com 的黑名单检查域名是否被列入黑名单。 查找恶意软件常用的...

covirt

covirt 用于基于虚拟机的混淆的x86-64代码虚拟化器。 功能特点 基于堆栈的虚拟机架构 MBA、自修改代码混淆 同时支持PE和ELF二进制文件 用于定义受保护区域的代码标记 PE支持仅在通过MinGW-w64编译的二进制文件上测试过 开始使用 依赖项 CMake 会自动获取所有这些依赖项，因此您无需自行安装。 名称| 版本 ---|--- CMake| 3.25+ Zydis| 4.1.0+ zasm| 最新 LIEF| 0.15.1+ 构建 需要兼容 C++23 的编译器才能构建。 git clone https://github.com/dmaivel/covirt.git ...

ulexecve

快速开始 在不调用 execve 的情况下执行动态或静态编译的 ELF Linux 二进制文件。 cat /bin/echo | ulexecve - hello hello 简介 这个 Python 工具名为 ulexecve，代表 用户态 execve 。它帮助你在 Linux 系统上从用户态执行任意 ELF 二进制文件，而无需调用 execve 系统调用。换句话说，你可以直接从内存中执行任意二进制文件，而无需将其写入存储。从反取证或红队渗透的角度来看，这非常有用，它使你能够更隐蔽地移动，同时仍然在目标机器上投放编译好的二进制文件。该工具在支持的 Linux 平台（x86、x86-6...

VMPacker

🛡️ VMPacker ARM64 ELF Virtual Machine Protection System 将 ARM64 原生指令翻译为自定义虚拟机字节码，实现函数级代码保护 Features • Architecture • Quick Start • Usage • Building • License Overview VMPacker 是一个针对 ARM64 AArch64 Linux ELF 二进制文件的虚拟机代码保护（VMP）系统。它将目标函数的原生 ARM64 指令解码为中间表示，再翻译为自定义 VM 字节码，并将嵌入式 VM 解释器注入 ELF 文件中，运行时由 VM...

sandfly-entropyscan

What is sandfly-entropyscan? sandfly-entropyscan is a utility to quickly scan files or running processes and report on their entropy measure of randomness and if they are a Linux/Unix ELF type executable. Some malware for Linux is packed or encrypted and shows very high entropy. This tool can...

sandfly-entropyscan

¿Qué es sandfly-entropyscan? sandfly-entropyscan es una utilidad para escanear rápidamente archivos o procesos en ejecución e informar sobre su entropía medida de aleatoriedad y si son un ejecutable de tipo ELF de Linux/Unix. Algunos malware para Linux están empaquetados o cifrados y muestran una...

Learning-Linux-Binary-Analysis

学习 Linux 二进制分析 学习 Linux 二进制分析 这是 学习 Linux 二进制分析 的代码仓库，由 Packt 出版。 学习 Linux 二进制分析 本书内容简介 《学习 Linux 二进制分析》内容丰富，包含大量代码，将教你 ELF 格式的内部工作原理，以及黑客和安全分析师用于病毒分析、二进制补丁、软件保护等方法。 本书涵盖以下精彩主题： 探索 ELF 二进制格式的内部工作原理 学习 UNIX 病毒感染与分析技术 掌握二进制加固与软件防篡改方法 修补可执行文件与进程内存 绕过恶意软件中使用的反调试手段 执行高级二进制取证分析 用 C 语言设计 ELF 相关工具 使用...

CVE-2023-30226

CVE-2023-30226 Rizin 是一个从 radare2 分支出来的逆向工程框架，在其 ELF 解析器代码中发现了一个缺陷，允许构造的文件执行拒绝服务攻击。这将阻止用户将文件加载到 rizin 中，但对文件本身的执行没有影响。 普通的 ELF 文件依赖于动态链接/加载，因此嵌入了大量信息。其中一项信息是在 .dynamic 部分中找到的 DTVERNEEDNUM 条目，该字段指定了符号版本依赖表中的条目数量。因此，该值应用于解析每个版本依赖项，但表的设计使得在最后一个 verneed 条目上，vnnext 字段将等于 0。然而，rizin...

woody-woodpacker

Woody-Woodpacker 一个 42 学校项目，实现了针对 64 位 ELF 可执行文件的二进制打包器。该打包器对可执行文件的代码段进行加密，并注入一个在运行时执行的解密例程。 🎯 关于 Woody-Woodpacker 是一个程序，它接收一个 64 位 ELF 二进制文件作为输入，并创建一个名为 woody 的新加密版本。当执行 woody 二进制文件时： 1. 运行时解密自身 2. 打印 "....WOODY...." 到标准输出，作为注入的证明 3. 正常执行 ，保持原始二进制文件的行为 该项目探索了： 二进制文件格式（ELF 结构） 代码注入技术 加密/解密算法 C...

ddisasm

Datalog Disassembly DDisasm 是一款 快速 的反汇编器，其精度足以让生成的汇编代码能够被重新汇编。DDisasm 使用 datalog（souffle）声明式逻辑编程语言实现，以编译反汇编规则和启发式方法。该反汇编器首先解析 ELF/PE 文件信息，并解码一组超集的潜在指令，以创建初始的 datalog 事实集。这些事实经过分析，用于识别 代码位置 、 符号化 以及 函数边界 。分析结果（即精炼后的 datalog 事实集）随后被转换为 GTIRB 中间表示，用于二进制分析和逆向工程。之后可使用 GTIRB pretty printer 将 GTIRB...

e9patch

E9Patch - 一个强大的静态二进制重写器 E9Patch 是一个针对 x8664 Linux ELF 二进制文件的强大静态二进制重写工具。 E9Patch 的特点： 可扩展 ：E9Patch 可以可靠地重写大型/复杂二进制文件，包括网络浏览器（大小超过100MB）。 兼容 ：重写的二进制文件是原始文件的直接替代品，无需额外依赖。 快速 ：E9Patch 可以在几秒钟内重写大多数二进制文件。 低开销 ：包括性能和内存。 可编程 ：E9Patch 的设计使其可以轻松集成到其他项目中。更多信息请参阅 E9Tool 用户指南 和 E9Patch 程序员指南。 静态二进制重写...

hackaday-u

Hackaday U - Ghidra逆向工程入门 此仓库包含Hackaday-U课程：Ghidra逆向工程入门的练习和资源材料。 本课程旨在概述如何使用Ghidra以及如何逆向工程Linux下的x8664 ELF二进制文件。 课程材料、幻灯片和视频课程的链接见此处 目录 docker: 用于运行本课程练习的Dockerfile session-one: 此文件夹包含第一节课的所有相关练习 session-two: 此文件夹包含第二节课的所有相关练习 session-three: 此文件夹包含第三节课的所有相关练习 session-four: 此文件夹包含第四节课的所有相关练习...

retdec

Warning The RetDec project is currently in a limited maintenance mode due to a lack of resources: Pull Requests are welcomed. They are reviewed with priority, if possible without delays. Issues are reacted on with delays up to one quarter. Issues are not actively solved unless they relate to a...

unicorn

Unicorn Engine LOOKING FOR CONTRIBUTORS! See this. Unicorn is a lightweight, multi-platform, multi-architecture CPU emulator framework, based on QEMU. Unicorn offers some unparalleled features: Multi-architecture: ARM, ARM64 ARMv8, M68K, MIPS, PowerPC, RISCV, SPARC, S390X, TriCore and X86 16, 32,...