Awesome-Pentest

Awesome 渗透测试工具与资源 一份精选的渗透测试工具与资源列表。 目录 反病毒绕过工具 AWS 文件查看器与格式化输出工具 硬件安全 CAN 总线 逻辑分析仪 其他硬件工具 哈希破解工具 十六进制编辑器 实验环境搭建 移动安全 Android iOS 其他 存在漏洞的应用 网络工具 OSINT 元数据工具 权限提升工具 逆向工程工具 静态应用安全测试 SAST Web 工具 Burp Suite 插件 GraphQL 字典列表 反病毒绕过工具 Anti-Virus-Evading-Payloads - 生成绕过杀毒软件载荷的指南。 AWS AWSBucketDump - 用于在...

Dirty-Vanity

Dirty Vanity 一种滥用 Windows fork API 以规避 EDR 的新注入技术的 PoC。 用法 DirtyVanity.exe TARGETPIDTOREFLECT 运行时步骤 分配并将 shellcode 写入 TARGETPIDTOREFLECT 将 TARGETPIDTOREFLECT fork 到一个新进程 将 fork 出的进程的起始地址设置为克隆的 shellcode Shellcode 反射的 shellcode 使用 ntdll API。它由随附的生成项目 shellcodetemplate 生成， 感谢...

Venom

Venom Venom 是一个 C++ 库，旨在提供一种替代的通信方式。它不是创建一个可被追溯到进程的 socket，而是创建一个新的“隐藏”（不显示窗口）的分离 Edge 进程（之所以选择 Edge，是因为它是每个 Windows 10+ 系统上都安装的浏览器，不会引起怀疑），并窃取该进程的一个 socket 来执行网络操作。 创建分离的浏览器进程的好处是，不存在被用户意外关闭的危险，而且 socket 虽然存在但未与任何站点通信，因此可以避免可能的冲突。 用法 Venom 是一个单一的 C++ 头文件，因此你只需将其包含到项目中，即可按如下方式使用： root@kitploit:...

WTSRM2

WTSRM2 这是我原始项目 WTSRM 以及相应演讲的延续。 该项目被重写是为了利用 C++17 来创建一个模板，使我们能够在编译时轻松更改所需的功能！它实现为仅头文件（header-only），这样你就可以轻松地将其添加到自己的项目中。 目前已实现的一些功能包括： 无 CRT 依赖（10KB 二进制） 使用 \KnownDlls\ 或 \System32\ 通过 '.text' 补丁来解除所有 Windows DLL 的钩子 使用 VirtualProtect 或 WriteProcessMemory 进行补丁 编译时 API 哈希 移除并恢复 Vectored Exception...

CobaltWhispers

CobaltWhispers 作者：@Cerbersec CobaltWhispers 是一款 Aggressor 脚本，利用一组用于 Cobalt Strike 的 Beacon Object File 来执行进程注入、持久化等操作，并借助直接系统调用（direct syscalls）绕过 EDR/AV。 CobaltWhispers 由 SysWhispers2 和 InlineWhispers2 提供支持 CobaltWhispers 基于 StayKit 以及 Hasherezade 和 Forrest Orr 的工作成果。 CobaltWhispers 是在 NVISO...

Disk-Spoofer

Disk-Spoofer 基于内核驱动的磁盘大小和扇区查询欺骗程序，可规避 Windows WMIC 查询。 环境依赖 windows10 22H2 vs2019 关闭 Cheat 如果对你有帮助，请 Star...

hwbp4mw

本文最初是为 VX-Underground Black Mass Halloween Edition 2022 撰写的。 Hook 引擎： 多线程安全的 x86/x64 硬件断点 Hook 引擎 C PAGEGUARD/hwbp 断点库 C++20 hwbp 库（DLL 示例）C++20 利用调试寄存器实现的通用 x64 用户态规避技术： TamperingSyscalls2 C TamperingSyscalls2 C++20 可用的 ETW/AMSI Hook 示例 rad9800/misc 恶意软件硬件断点 v 1.0 我们的任务是轻松地 Hook...

CallStackMasker

CallStackMasker 该仓库演示了一种使用计时器动态伪造调用栈的 PoC 技术。在我们的植入体进入睡眠之前，我们可以排队计时器，用伪造的调用栈覆盖其调用栈，然后在恢复执行之前还原原始调用栈。因此，就像我们可以在睡眠期间屏蔽属于植入体的内存一样，我们也可以屏蔽主线程的调用栈。 有关完整的技术详解，请参阅随附的博客文章：https://www.cobaltstrike.com/blog/behind-the-mask-spoofing-call-stacks-dynamically-with-timers/。 默认情况下，该 PoC 会模仿取自 spoolsv.exe 的静态调用栈...

Split

描述 分而治之是一种编程中常用的算法，通过将复杂的问题分解为许多更简单的子问题来解决它。我们可以将这种方法以不同的目标应用于进攻性安全：迷惑 EDR，使其无法跟踪我们的活动，从而阻止它们触发任何警报。这类似于最近在现实攻击中几乎任何钓鱼活动中都能看到的情况：长感染链，逐步运行多个文件（例如 .url - .one - .js - .bat - .dll），而不是直接运行最终载荷。每个被运行的文件都执行一个简单的任务（下载另一个文件、对注册表进行任何更改、在目录之间移动文件或更改其名称/扩展名等），单独来看很难将这些任务标记为恶意，以此来为最终执行准备环境。...

DInvoke

DInvoke Windows 上 PInvoke 的动态替代方案。DInvoke 包含强大的原语，可以智能地组合，以高精度地从磁盘或内存动态调用非托管代码。它可用于多种目的，例如 PE 解析、智能动态 API 解析、在运行时动态加载 PE 插件、进程注入以及规避 API 钩子。 功能特性： 无需 PInvoke 即可动态调用非托管 API 提供能够进行战略性 API 钩子规避的原语 从托管代码手动映射非托管 PE 模块 将 PE 模块映射到由磁盘上任意模块支持的内存区域 模块化的进程注入 API 不断增长的数据结构、委托和函数包装库（欢迎分享 :-） 支持 .NET v3.5+ 会议演...

BypassAV

BypassAV 此思维导图列出了绕过杀毒软件和 EDR 的基本技术 提醒：强烈建议阅读与手动技术相关的文章，而不是使用开源工具，因为开源工具更有可能因 IOSs 而被杀毒软件怀疑 预览 编辑 Markdown / HTML 版本 Bypass-AV.md 是使用 MarkMap 制作的。你可以在此处预览它。 你可以使用一些插件来编辑 / 预览它： VSCode VSCode Marketplace - gera2ld.markmap-vscode Open VSX - gera2ld.markmap-vscode Mkdocs markmap/mkdocs-markmap Obsidi...

NewPowerDNS

NewPowerDNS NewPowerDNS 是 @domchell 的 PowerDNS 的更新版本。新增的主要功能是支持使用 DNS A 记录传输文件。以下是所做修改的完整列表： 支持通过 DNS A 记录传输 Gzip 压缩以减小文件传输体积 支持传输所有类型的文件 新的 stager，可轻松混淆或逐行运行，以绕过 AV/EDR 的拦截 可选择打印、执行或保存传输的文件 从 python2 更新到 python3 除 python3 外，唯一的依赖项是 scapy。可通过 pip 轻松安装，如下所示： root@kitploit: python3 -m pip install...

yetAnotherObfuscator

yetAnotherObfuscator 一个可以绕过 Windows Defender 杀毒软件的 C 混淆器工具。我制作这个工具主要是为了以此为借口，更深入地学习 C 以及混淆器的工作原理。 这是一个 alpha 版本，所以预计会有一些不错的 bug。 用法： 将 C exe 拖放到 yetAnotherObfuscator.exe 上 或者提供 C exe 作为参数： root@kitploit: .\yetAnotherObfuscator.exe 贡献者 ✨ @Resit...

OffensiveCpp

OffensiveCpp Offensive C++ 是一个用 C++ 编写的攻击性安全代码片段集合，其中包含各种用于渗透测试和漏洞利用开发的工具。 目录 OffensiveCpp 简介 为什么要用 C/C++？ 编译 参考库 贡献 许可证 简介 本项目的目的是提供一套可用于渗透测试和漏洞利用开发的代码片段集合。目前，该项目包含以下类别的代码片段： AV/EDR 绕过 枚举 沙箱绕过 Shellcode 执行 WinAPI 示例 为什么要用 C/C++？ C/C++ 是一种编译型语言，这意味着它可以生成针对特定目标平台优化的代码。 C/C++ 是一种低级编程语言，可对系统资源提供高度控制...

Awesome_Malware_Techniques

Awesome 恶意软件技术 一个精选的资源列表，用于分析和研究恶意软件技术。 Unprotect: Unprotect 是一个开放的恶意软件规避技术数据库，提供代码片段和检测规则。 LolBas: 利用系统自带二进制文件、脚本和库（Living Off The Land Binaries, Scripts and Libraries）。 ORKL: 威胁情报报告的搜索引擎。 HijackLibs: 这是一个精选的 DLL 劫持候选列表。该网站维护了 DLL 与易受攻击的可执行文件之间的映射，并可通过此网站进行搜索。 Living Off Trusted Sites:...

PowerShell-Obfuscation-Bible

PowerShell 混淆圣经 这是一系列用于手动混淆 PowerShell 脚本以绕过基于签名的检测的技术、示例和一些理论，汇编用于教育目的。本仓库的内容是个人研究的结果，包括阅读在线材料和在进行实验室和渗透测试中的反复试验。你不应想当然地认为所有内容都一定正确。 YouTube 视频演示 ：youtube.com/watch?v=tGFdmAhlXE ⚠️ 免责声明 ：使用本仓库中描述的技术和概念来未经授权访问你无权测试的系统是违法的。你需对自己的行为负责。不要作恶。 目录 1. 熵 2. 识别检测触发点 3. 重命名对象 4. 混淆布尔值 5. Cmdlet 引号中断 6...

Bin-Finder

描述 该工具用于查找已加载某个特定二进制文件的进程，或未加载该二进制文件的进程。这在以下场景中非常有用： 它可以检测未加载特定 EDR/AV DLL 的进程，从而帮助发现 EDR 的例外项。 它可以以极低的跨进程活动量获取特定进程的 PID（例如，查找加载了 c:\windows\sytem32\lsass.exe 的进程即可获得 Lsass 的 PID）。 它可以获取服务或 RPC/COM 服务器的 PID，而无需遍历每个正在运行的 svchost 进程。 你也许能发现该工具的其他有价值的用法。以上结果的获取无需遍历系统中的所有进程 ，且噪音更低。 该工具通过使用...

combine_harvester

combine 用这个超棒的工具检查你的 Windows 本地安全机构（LSA）凭据的安全性。 配套的转储解码器 @ https://github.com/ruggi99/combine-decoder 简介 通过重新改编 safetydump rust 库（非常感谢作者！！！），我已经能够轻松绕过大多数 EDR 设置的所有防御措施，除了 Kaspersky EDR 和 TrendMicro（大约几小时前新增的检测）。 直到一年前，带有自定义回调的 dbghelp!MiniDumpWriteDump 还可用于绕过大多数杀毒软件/EDR 解决方案。...

DEFCON-31-Syscalls-Workshop

（间接）直接系统调用：从高层到底层的旅程 RedOps | Red Team Village | DEF CON 31 开始入门 所有的理论 和练习手册 都可以在wiki中找到，它们与准备好的 POC 一起构成了本项目的核心。练习 对应的 POC 可以在此主页 上找到。 祝学习愉快！ Daniel Feichter 免责声明 首先，衷心感谢 我的女朋友，十多年来她一直支持我所做的一切！没有她的支持和帮助，过去十年里我的任何项目都不可能完成。 还要感谢我的好友、AV-Comparatives 的 Andreas Clementi，自从我们第一次见面以来，他一直支持我。也感谢我的朋友 Jon...

Fuck-Etw

「⚙️」绕过 ETW 与取消挂钩 Ntdll 绕过事件跟踪 WindowsETW 并取消挂钩 ntdll。 root@kitploit: |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/ // Made by sorahed v1.0 i Hooked Ntdll Base...