RawHive

RawHive RawHive 是一个 Cobalt Strike BOF，用于直接从原始 NTFS 卷中拉取选定的 Windows 注册表配置单元。它绕过常规文件 API，遍历 NTFS 元数据以找到目标文件记录，然后直接从磁盘复制字节。 目前会查找： C:\Windows\System32\config\SAM C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY C:\Windows\NTDS\ntds.dit（如果主机是域控制器） 默认从 C: 读取，但你可以指定其他本地驱动器盘符。 工作原理 ...

CVE-2021-36934

CVE-2021-36934 CVE-2021-36934 HiveNightmare 脆弱性チェッカーと回避策 フロー スクリプトのフローは次のとおりです。 管理者権限で実行する必要があります Windows 10のバージョンが脆弱性の影響を受けるか確認します 脆弱性の影響を受ける場合: Windowsのバージョンが脆弱性の影響を受ける可能性があるメッセージを表示 ハイブシステムファイルのアクセス許可が BUILTIN\Users によってアクセス可能か確認 脆弱な場合: Microsoft が提案する回避策を適用...

HiveJack

HiveJack このツールは、内部侵入テストにおいて、すでに侵害されたホストから Windows 資格情報をダンプするために使用できます。SYSTEM、SECURITY、および SAM レジストリハイブをダンプし、攻撃者のマシンにコピーした後、これらのファイルを削除して痕跡を消去するオプションを提供します。 多くの場合、これは繰り返し発生するプロセスであり、攻撃者が侵害されたホストでシステムレベルのアクセスを取得すると、ハイブの値をダンプすることが次のステップです。内部侵入テストでは時間が非常に貴重です。HiveJack...

go-secdump

go-secdump Description Package go-secdump is a tool built to remotely extract hashes from the SAM registry hive as well as LSA secrets and cached hashes from the SECURITY hive without any remote agent and without touching disk. The tool is built on top of the library go-smb and use it to...

hive

来自WikiLeaks： 今天，2017年11月9日，WikiLeaks发布Hive的源代码和开发日志。Hive是CIA用于控制其恶意软件的基础设施中的一个主要组成部分。 Hive为CIA的恶意软件操作人员解决了一个关键问题。即使目标计算机上安装了最复杂的恶意软件植入程序，如果它无法以不引人注意的安全方式与操作人员进行通信，那也是毫无用处的。使用Hive后，即使植入程序在目标计算机上被发现，仅通过查看恶意软件与互联网上其他服务器之间的通信，也很难将其归因于CIA。Hive为一系列CIA恶意软件提供了一个隐蔽的通信平台，用于将窃取的信息发送到CIA服务器，并从CIA的操作人员处接收新的指令...

aggrokatz

aggrokatz What is this aggrokatz is an Aggressor plugin extension for CobaltStrike which enables pypykatz to interface with the beacons remotely. The current version of aggrokatz allows pypykatz to parse LSASS dump files and Registry hive files to extract credentials and other secrets stored...

Registry-Spy

Registry Spy: クロスプラットフォーム Windows レジストリブラウザ Registry Spy は、無料のオープンソースクロスプラットフォーム Windows レジストリビューアです。生のレジストリファイル向けの高速でモダンかつ多機能なエクスプローラです。 特徴: Windows、macOS、Linux のサポート 高速なオンザフライ解析により事前オーバーヘッドが不要 複数のハイブを同時に開くことが可能 検索機能 16進数ビューア 変更タイムスタンプ 必要条件 Python 3.8+ Windows 10 1809+、macOS、または Linux...

dfir-toolkit

!CAUTION DFIR Toolkit 即将离开 github 为什么？ 我们相信所有人（包括男性、女性，以及介于两者之间和超越两者的一切人类）生而平等。基于这种理念，以出生地、语言、肤色、宗教或任何其他因素来评判他人是没有意义的。 我们相信，你的为人取决于你的所作所为。如果你关爱他人，那就是你的为人。如果你伤害他人，那也就是你的为人。 我们对美国当前正在发生的事情感到担忧。我们不喜欢政府自认为凌驾于法律之上。我们不喜欢政府不为人民服务，反而将人民视为威胁。但这就是政治。 Github 是 Microsoft 的一部分，而 Microsoft 正在支持这个政府。例如，Microsof...

backup_dc_registry

Backup Operator Registry Backup to Domain Compromise（バックアップオペレータのレジストリバックアップによるドメイン侵害） Backup Operator の権限を悪用して SAM、SYSTEM、SECURITY ハイブをリモートダンプするシンプルな POC です。 研究クレジット: @filipdragovic 移植元: @mpgn の Windows PoC 使用方法 この proof of concept は impacket/examples/reg.py の修正版であり、最新の impacket...

CVE-2021-36934-HiveNightmare-Lab

CVE-2021-36934 HiveNightmare - 教育用ラボ 🎯 目的 管理されたラボ環境でHiveNightmare脆弱性を再現し分析する。 📋 目次 脆弱性の説明 実装 デモンストレーション ラボ環境とツール 悪用手順 緩和策 デモンストレーション 結論 参考文献 1. 脆弱性の説明 CVE-2021-36934（別名「SeriousSAM」または「HiveNightmare」）は、Windows 10 バージョン1809以降、初期のWindows 11、およびWindows Server...

regipy

regipy ⚠️ v6.0.0 における破壊的変更 バージョン 6.0.0 には大幅なモダナイゼーションの変更が含まれています: Python 3.9 以上が必要 - Python 3.6、3.7、3.8 のサポートを終了 attrs ライブラリを削除 - データクラスは Python 組み込みの dataclasses モジュールを使用するようになりました 内部クラス Cell、VKRecord、Value、Subkey をインポートし、attr.asdict のような attrs 関数を使用している場合は、dataclasses.asdict に切り替えてください 詳細については...

CVE-2020-1472-Easy

CVE-2020-1472-Easy これは、あなたが大切にしているものには絶対に実行したくないものです。 @obfuscatee 氏と別のソースによる writeup および作業から構築されました。 以下のコードを使用します。 https://github.com/dirkjanm/CVE-2020-1472 https://github.com/SecuraBV/CVE-2020-1472 https://github.com/VoidSec/CVE-2020-1472 https://github.com/SecureAuthCorp/impacket 基本的に、Zerologon...

CLEANSTART-2026-KU24747 Spring Framework applications that use Spring's data binding infrastructure to apply user-supplied property paths onto a target object may be vulnerable to a Denial of Service (DoS) attack

Security vulnerability affects the apache-hive package. Spring Framework applications that use Spring's data binding infrastructure to apply user-supplied property paths onto a target object may be vulnerable to a Denial of Service DoS attack...

CLEANSTART-2026-QW68592 Spring WebFlux application that relies on the Aalto XML processor to parse XML input does not correctly enforce the maxInMemorySize limit

Security vulnerability affects the apache-hive package. A Spring WebFlux application that relies on the Aalto XML processor to parse XML input does not correctly enforce the maxInMemorySize limit...

CLEANSTART-2026-JC43217 Applications using Spring Framework's FreeMarker integration may be vulnerable to a path traversal attack when a controller returns a view name derived from untrusted input and FreeMarker is config...

Security vulnerability affects the apache-hive package. Applications using Spring Framework's FreeMarker integration may be vulnerable to a path traversal attack when a controller returns a view name derived from untrusted input and FreeMarker is configured to resolve templates through...

CLEANSTART-2026-LT41646 WebFlux application using functional endpoints and deployed with DispatcherServlet may be vulnerable to a header predicate bypass in a pre-flight request

Security vulnerability affects the apache-hive package. A WebFlux application using functional endpoints and deployed with DispatcherServlet may be vulnerable to a header predicate bypass in a pre-flight request...

CLEANSTART-2026-MN75797 Applications that evaluate Spring Expression Language (SpEL) expressions using SimpleEvaluationContext may be vulnerable to a safety guard bypass when the SpEL expression compiler is active

Security vulnerability affects the apache-hive package. Applications that evaluate Spring Expression Language SpEL expressions using SimpleEvaluationContext may be vulnerable to a safety guard bypass when the SpEL expression compiler is active...

CLEANSTART-2026-YG17751 yawkat LZ4 Java provides LZ4 compression for Java

Security vulnerability affects the apache-hive package. yawkat LZ4 Java provides LZ4 compression for Java...

CLEANSTART-2026-JK79354 Spring MVC application that uses UrlFileNameViewController that is mapped with an end-of-path, and does not have a configured prefix is vulnerable to an open redirect

Security vulnerability affects the apache-hive package. A Spring MVC application that uses UrlFileNameViewController that is mapped with an end-of-path, and does not have a configured prefix is vulnerable to an open redirect...

CLEANSTART-2026-VD50036 Applications that build a Content-Disposition header value from untrusted input may be vulnerable to HTTP response splitting when the input is a malicious file name

Security vulnerability affects the apache-hive package. Applications that build a Content-Disposition header value from untrusted input may be vulnerable to HTTP response splitting when the input is a malicious file name...