19 matches found
LazyHook
개요 LazyHook은 호스트 침입 방지 시스템HIPS을 우회 하는 은밀한 API 후킹 프레임워크로, 호출 스택 스푸핑을 통해 동작합니다. CPU 수준의 하드웨어 중단점과 Vectored Exception Handling을 활용하여, 신뢰할 수 있는 Microsoft 서명 모듈에서 발생한 것처럼 임의 코드를 실행합니다. 이는 호출 스택 검사와 모듈 출처 확인에 의존하는 행동 분석 엔진을 완전히 속입니다. 신뢰할 수 있는 Microsoft 호출 스택 내에서 악성 코드를 실행하여 행동 분석을 회피하세요 하드웨어 중단점 + VEH를...
VectoredOverloading
VectoredOverloading Vectored Overloading은 KidKadi 악성코드에서 처음 발견된 로컬 PE 인젝션 기술입니다. 이 기술은 하드웨어 중단점HWBP과 벡터 예외 처리VEH를 사용하여 합법적인 DLL의 로딩을 조작하고, DLL 섹션 객체를 실시간으로 변경하는 방식으로 작동합니다. 기본적으로 이 기술은 다음을 수행합니다: 합법적인 DLL예: wmp.dll에서 SECIMAGE 매핑을 생성합니다. 이 이미지 메모리 위에 페이로드 PE를 매핑합니다. 엔트리포인트를 0으로 설정하고...
hbp-attack-demo
fork from https://github.com/veritas501/hbpattackdemo hbpattack 데모 참고 P0 블로그: https://googleprojectzero.blogspot.com/2022/12/exploiting-CVE-2022-42703-bringing-back-the-stack-attack.html vuln 모듈을 만들어서, 커널 임의 주소 쓰기 원시어primitive가 있다고 가정했지만, kaslr이 켜져 있어 주소 누출이 없는 상황이다. 따라서 cpuentryarea가 kaslr 무작위화에...
hwbp4mw
이 글은 원래 VX-Underground Black Mass Halloween Edition 2022를 위한 것입니다. 후킹 엔진: 멀티스레드 안전 x86/x64 hwbp 후킹 엔진 c PAGEGUARD/hwbp 브레이크포인트 라이브러리 c++20 hwbp 라이브러리 DLL 예제 c++20 디버그 레지스터를 활용하는 범용 x64 사용자 영역 회피 기법: TamperingSyscalls2 c TamperingSyscalls2 c++20 사용 가능한 ETW/AMSI 후킹 예제 rad9800/misc 멀웨어를 위한 하드웨어...
HWSyscalls
HWSyscalls 主な貢献者 説明 HWSyscalls は、以下の3つの主要コンポーネントを使用して間接システムコールを実行する新しい手法です。 実行フローを制御するためのハードウェアブレークポイントとベクタード例外ハンドラ。 システムコール番号とアドレスを見つけるために使用される HalosGate。 ハードウェアブレークポイントを使用して kernel32 上に合成トランポリンを作成。 HWSyscalls は、現在の間接システムコール検出に基づく EDR や AV...
gdbfuzz
GDBFuzz: Debugger-Driven Fuzzing This is the companion code for the paper: 'Fuzzing Embedded Systems using Debugger Interfaces'. A preprint of the paper can be found here https://publications.cispa.saarland/3950/. The code allows the users to reproduce and extend the results reported in the paper...
gdbfuzz
GDBFuzz: 디버거 기반 퍼징 이 저장소는 논문 'Fuzzing Embedded Systems using Debugger Interfaces'의 동반 코드입니다. 논문의 사전 인쇄본은 https://publications.cispa.saarland/3950/ 에서 찾을 수 있습니다. 이 코드는 사용자가 논문에 보고된 결과를 재현하고 확장할 수 있도록 합니다. 결과를 보고, 재현하거나 확장할 때는 위 논문을 인용해 주시기 바랍니다. 폴더 구조 root@kitploit: . ├── benchmark Google의 퍼저 테스트...
GhostlyHollowingViaTamperedSyscalls2
변조된 Syscall을 통한 Ghostly Hollowing 재업로드 공지 !NOTE 원본 저장소는 이전에 DeceptIQ의 창립자 @Rad9800에 대한 저작자 표시가 누락된 잘못된 라이선스를 사용하고 있었습니다. 그의 TamperingSyscalls 저장소는 MIT 라이선스로 게시되어 있습니다. 그의 작업은 이미 강의 모듈하드웨어 중단점을 통한 변조된 Syscall과 공개 제3자 라이선스 페이지에 명시되어 있었습니다. 누락을 인지한 즉시, 우리는 원본 저장소를 신속히 수정하고 Rad에게 같은 날 연락하여 실수에 대해...
Exploit for Use After Free in Linux Linux_Kernel
From https://github.com/veritas501/hbpattackdemo hbpattack...
CAPEv2 - Malware Configuration And Payload Extraction
CAPE is a malware sandbox. It was derived from Cuckoo with the goal of adding automated malware unpacking and config extraction - hence its name is an acronym: 'Config And Payload Extraction'. Automated unpacking allows classification based on Yara signatures to complement network Suricata and...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
kernel: ptrace() incorrect error handling leads to corruption and DoS
An address corruption flaw was discovered in the Linux kernel built with hardware breakpoint CONFIGHAVEHWBREAKPOINT support. While modifying a h/w breakpoint via 'modifyuserhwbreakpoint' routine, an unprivileged user/process could use this flaw to crash the system kernel resulting in DoS OR to...
OllyDbg 2.01 alpha 3 Released !
OllyDbg 2.01 alpha 3 Released ! A major update with many new features. Here are the most important: - Support for multi-monitor configurations - Hardware breakpoints and fast command emulation now co-operate. That is, run trace rund at full speed up to and exceeding 500000 commands per second...
CVE-2001-1347
CVE-2001-1347 affects Windows 2000. The vulnerability arises when a local user sets a hardware breakpoint that is handled via global debug registers, which can cause other processes to terminate due to an exception and may allow hijacking of resources such as named pipes. The available sources de...
CVE-2001-1347
Windows 2000 allows local users to cause a denial of service and possibly gain privileges by setting a hardware breakpoint that is handled using global debug registers, which could cause other processes to terminate due to an exception, and allow hijacking of resources such as named pipes...