CustomC2ChannelTemplate

사용자 지정 C2 채널을 위한 IAT 후킹 이것은 리플렉티브 로더가 적용한 IAT 후크를 사용하여 Cobalt Strike용 사용자 지정 C2 채널을 개발하기 위한 간단한 PoC 및 템플릿입니다. 블로그 게시물: https://codex-7.gitbook.io/codexs-terminal-window/red-team/cobalt-strike/building-custom-c2-channels-by-hooking-wininet TCP 채널 데모 gif 사용법 customCallback.h, hook.c, hash.h 및 hook....

r77-rootkit

r77 Rootkit Fileless ring 3 rootkit r77 is a ring 3 rootkit that hides everything: Files, directories Processes & CPU/GPU usage Registry keys & values Services TCP & UDP connections Junctions, named pipes, scheduled tasks Hiding by prefix Everything that starts with "$77" is hidden. Configuration...

BOF_RunPe

BOFRunPE BOF RunPE는 Cobalt Strike용 Beacon Object File로, beacon 프로세스 내에서 PE 파일을 완전히 인메모리로 실행합니다. 기존의 fork&run과 달리 자식 프로세스가 생성되지 않고, 콘솔이 생성되지 않으며, 파이프도 사용되지 않습니다 - 모든 출력은 IAT 후킹을 통해 캡처되어 beacon 콘솔로 리디렉션됩니다. 아키텍처: x64 전용 개요 ┌──────────────────────────────────────────────────────────────┐ │ Cobalt...

APKLab

APKLab 궁극의 Android RE 경험을 바로 당신의 VS Code 안에서 누리세요. APKLab은 최고의 오픈소스 도구들을 완벽하게 통합합니다: Apktool, smali-lsp, Jadx, uber-apk-signer, apk-mitm 등을 VS Code에 통합하여 앱 분석에 집중하고 IDE를 벗어나지 않고 작업을 완료할 수 있습니다. 기능 앱 리소스 파일 디코드/편집/재빌드 APK를 Smali로/에서 디스어셈블/수정/재빌드 APK를 Java 소스로 디컴파일 smali-lsp 를 통한 탁월한 Smali 언어 지원 –...

AudioServer-Voip-Recorder

목표: Android의 audioserver특히 libaudioflinger.so를 후킹하고 시스템이 통화communication 모드에 있을 때 업링크마이크 및 다운링크스피커 PCM 버퍼를 기록하여 VoIP 스트림 캡처를 시연합니다. 프로젝트 설계 및 방법론 아키텍처: 컨트롤러 앱 Android SELINUX 정책 설정, 페이로드 주입, 데이터 이동, 재생을 관리하는 9개의 버튼이 있는 UI입니다. 페이로드 libaudiohook.so 앱 프로젝트의 일부로 빌드되는 C++ 공유 라이브러리로, Dobby 를 사용하여 내부...

RMS-Runtime-Mobile-Security

Runtime Mobile Security RMS 📱🔥 by @mobilesecurity Runtime Mobile Security RMS , FRIDA 기반으로 구동되는 강력한 웹 인터페이스로, Android 및 iOS 앱 을 런타임에 조작할 수 있도록 도와줍니다. RMS를 사용하면 로드된 모든 클래스와 관련 메서드를 쉽게 덤프하고, 실시간으로 모든 것을 후킹하며, 메서드 인수와 반환 값을 추적하고, 사용자 정의 스크립트를 로드하는 등 다양한 유용한 기능을 활용할 수 있습니다. iOS 데모 - 동영상 Android 데모 -...

sogen

Sogen은 실제 운영 체제 없이 Windows 및 Linux 프로그램을 실행하며, 프로그램이 수행하는 모든 작업을 보고 제어할 수 있게 해줍니다. 수천 개의 OS API를 재구현하는 대신, Sogen은 CPU 및 시스템 콜 수준에서 바이너리를 에뮬레이션하고 실제 시스템 DLL 을 실행하므로 동작이 실제 OS와 매우 유사합니다. 모든 명령어, 메모리 접근 및 API 호출을 후킹, 검사 또는 재작성할 수 있으며, 실행은 완전히 결정적이고, 에뮬레이터 전체 상태를 스냅샷으로 저장하고 복원할 수 있습니다. C++로 작성되었으며, 선...

mqxss

mqxss v0.2 mqxss는 MQTT를 통해 후킹된 브라우저와 통신하는 클라이언트 역할을 합니다 이 도구를 beef나 xsshunter 대신 사용할 때의 이점은 js 페이로드를 호스팅하는 것 외에는 인프라 설정이 필요 없다는 것입니다. 공용 브로커를 사용할 수 있습니다 단, 현재는 난독화를 사용하며, 암호화는 개발 중입니다. 후킹된 브라우저는 지정한 브로커의 MQTT 토픽에서 통신합니다. 이를 테스트할 수 있는 공개/무료 브로커가 많이 있습니다. 클라이언트는 python paho.mqtt 라이브러리를 사용하고, js 페이로...

EDR-Preloader

EDR-Preloader EDR이 AppVerifier 레이어를 하이재킹하여 우리 프로세스에 DLL을 후킹하거나 로드하지 못하게 하는 EDR 우회 기법입니다 자세한 내용은 malwaretech.com/2024/02/bypassing-edrs-with-edr-preload.html을 참조하세요...

thats_no_pipe

그것은 파이프가 아니다 Windows 명명된 파이프 통신을 가로채는 Frida 기반 프로젝트 목표 이 프로젝트는 특정 WinAPI 함수를 후킹하고 이를 웹소켓을 사용하여 HTTP 프록시로 전달함으로써 IPC 통신을 가로채는 것을 목표로 합니다. 아키텍처 명명된 파이프에 대한 읽기와 쓰기는 서로 다른 함수에서 발생할 수 있습니다. 이 섹션에서 WriteFile은 명명된 파이프에 대한 쓰기를, ReadFile은 명명된 파이프로부터의 읽기를 나타냅니다. 가로챈 경우, 작성될 데이터는 다음 스키마를 따릅니다. WriteFile --...

DotNetHookerToolkit

InjectorCli + ManagedHookHostProj 이 저장소는 함께 사용하도록 설계된 두 개의 프로젝트를 포함합니다: InjectorCli: .NET Framework 4.8 기반의 콘솔 인젝터로, frida-clr Frida.dll 위에 구축됨 ManagedHookHostProj: .NET Framework 4.8 기반의 헬퍼 DLL로, 네이티브 익스포트 3F .NET DllExport 사용를 통해 관리형 메서드를 네이티브 진입점으로 변환하여 Frida가 연결할 수 있도록 함 TestTarget32: 후킹을 테스트...

grapefruit

Grapefruit: 오픈소스 모바일 보안 테스트 스위트 Frida 기반의 런타임 모바일 애플리케이션 계측 툴킷입니다. 웹 기반 인터페이스를 통해 모바일 앱을 검사하고, 후킹하고, 수정할 수 있습니다. 이제 iOS와 Android를 모두 지원합니다! 빠른 시작 기기에서 Frida 서버가 실행 중이어야 합니다. 먼저 공식 설정 가이드Android를 따르세요. npm 권장, Node.js 22.18+ 필요 npm install -g igf igf 또는 설치 없이 실행 Node.js 22.18+ 필요 npx igf macOS,...

NtDetours

NTSTATUS NTAPI TrInitPVOID ImageBase = &ImageBase; IAT를 쓰기 가능하게 만듭니다. simple.cpp을를 찾아보세요. TimedSleepEx 는 TrueSleepEx 함수 포인터를 통해 실제 SleepEx API를 호출합니다. static DWORD WINAPI TrueSleepExDWORD dwMilliseconds, BOOL bAlertable = SleepEx; DWORD WINAPI TimedSleepExDWORD dwMilliseconds, BOOL bAlertable...

NetRipper

Description NetRipper는 Windows 시스템을 대상으로 하는 사후 익스플로잇 도구로, API 후킹을 사용하여 낮은 권한의 사용자로부터 네트워크 트래픽과 암호화 관련 함수를 가로채며, 암호화 전/복호화 후에 일반 텍스트 트래픽과 암호화된 트래픽을 모두 캡처할 수 있습니다. NetRipper는 네바다주 라스베이거스에서 열린 Defcon 23에서 공개되었습니다. 법적 고지 상호 사전 동의 없이 대상을 공격하기 위해 NetRipper를 사용하는 것은 불법입니다. 최종 사용자는 모든 해당 지역, 주 및 연방 법률을 준...

linux-root-kit

이 프로젝트 소개 이 프로젝트는 Technische Hochschule Deggendorf의 디지털 포렌식Digitale Forensik 과정의 일환으로 개발되었습니다. 다음을 포함하는 전체 포렌식 조사 및 공격 시뮬레이션을 보여줍니다: 악성 PyPI 패키지를 사용한 Python 종속성 혼동 공격 취약한 sudo 버전CVE-2025-32463을 통한 권한 상승 Sliver C2 비콘 배포 커널 모듈 로딩, 시스템 콜 후킹, udev 기반 지속성을 갖춘 커스텀 루트킷 Volatility, NetworkMiner, 수동 리버싱과 ...

FstHook

FstHook KiFastSystemCall 후킹을 통해 네이티브 함수를 가로채는 라이브러리 참고: KiFastSystemCall 후킹은 다음 시스템에서만 작동합니다: Windows XP Service Pack 3 32비트 Windows Vista 32비트 Windows 7 32비트...

project-rvbbit

Project RVBBIT: Linux 커널 루트킷 개념 증명 📖 개요 Project RVBBIT 는 Linux 커널 루트킷에서 사용되는 고급 은닉 기술을 시연하는 교육용 개념 증명 입니다. 사이버 보안 연구, 방어 훈련, 그리고 현대 루트킷이 작동하는 방식을 이해하기 위한 목적으로만 제공됩니다. 이 프로젝트는 다음을 보여줍니다: DKOM직접 커널 객체 조작을 통해 프로세스, 파일 및 네트워크 연결을 은닉합니다. 시스템 콜 테이블을 직접 수정하여 시스템 콜을 후킹합니다syskill, sysgetdents64, sysopenat...

wraith

WRAITH — ブラウザフックフレームワーク レッドチーム、セキュリティ研究者、教育者向けの、モダンでスタンドアロンなブラウザフックフレームワーク — BeEF や、私たちが日常的に使っている blind-XSS コールバックツールのクリーンルーム後継です。 認可されたセキュリティテスト、研究、教育のみを目的としています。 WRAITH は、フィッシング / man-in-the-browser / blind-XSS のトレードクラフトを実演・テストするための攻撃的セキュリティツールです。明示的な認可...

RDPCredentialStealer

RDPCredentialStealer RDPCredentialStealer는 Detours를 사용한 API 후킹을 통해 C++로 사용자가 RDP에서 제공하는 자격 증명을 탈취하는 임플란트입니다. 자격 증명 탈취를 위한 개념 증명 도구 한번 시도해 봅시다: 먼저 GitHub 저장소의 DLL을 C:\Users\Public\Music 경로로 전송합니다: 이제 RDP 커넥터 Windows 애플리케이션을 엽니다: 그리고 이제 GitHub 저장소에 있는 EXE를 실행합니다: 그리고 rdp 서버에 접속을 시도할 때: 사용자: s12User...

TeamViewer_Permissions_Hook_V1

TeamViewer 권한 후크 V1 TeamViewer 권한을 변경하기 위해 네이키드 인라인 후킹과 직접 메모리 수정을 사용하는 인젝션 가능한 개념 증명 C++ DLL입니다. 기능 서버 측 - 오른쪽 팝업 메뉴에서 추가 메뉴 항목 옵션을 활성화합니다. 가장 유용한 기능은 '측면 전환' 기능을 활성화하는 것인데, 이는 일반적으로 클라이언트와의 제어 인증을 완료하고 제어/측면 변경을 시작한 후에만 활성화됩니다. 클라이언트 측 - 서버의 현재 제어 설정 및 권한에 관계없이 마우스를 제어할 수 있습니다. 데모 서버 측 클라이언트 측...