pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

NtDetours

NTSTATUS NTAPI TrInitPVOID ImageBase = &ImageBase; IAT를 쓰기 가능하게 만듭니다. simple.cpp을를 찾아보세요. TimedSleepEx 는 TrueSleepEx 함수 포인터를 통해 실제 SleepEx API를 호출합니다. static DWORD WINAPI TrueSleepExDWORD dwMilliseconds, BOOL bAlertable = SleepEx; DWORD WINAPI TimedSleepExDWORD dwMilliseconds, BOOL bAlertable...

laZzzy

laZzzy laZzzy — это загрузчик шелл-кода, демонстрирующий различные техники выполнения, часто используемые вредоносными программами. laZzzy был разработан с использованием различных открытых библиотек, состоящих только из заголовков. Возможности Прямые системные вызовы и нативные функции Nt не все...

libpeconv

libPeConv PE 파일을 로드하고 조작하기 위한 라이브러리입니다. 목표 libPEConv의 목표는 PE 파일의 사용자 정의 로딩을 위한 "스위스 아미 나이프"를 만드는 것이었습니다. 이 라이브러리는 자체 로더에 빠르게 통합할 수 있는 다양한 헬퍼 함수를 모아 놓았습니다. 예를 들어: 섹션 재매핑, 재배치 적용, 임포트 로딩, 리소스 파싱 등이 있습니다. PE 파일을 로드할 수 있을 뿐만 아니라 일부 단계를 사용자 정의할 수도 있습니다. 즉, IAT 후킹사용자 정의 IAT 해석기 제공 및 함수 리디렉션을 지원합니다. 그러나...

CustomC2ChannelTemplate

Перехват IAT для пользовательских C2-каналов Это простой PoC и шаблон для разработки пользовательских C2-каналов для Cobalt Strike с использованием перехватов IAT, применяемых рефлективным загрузчиком. Статья в блоге:...

BOF_RunPe

BOFRunPE BOF RunPE — это Beacon Object File для Cobalt Strike, который выполняет PE-файлы полностью в памяти внутри процесса beacon. В отличие от традиционного fork&run, не создается дочерний процесс, не создается консоль и не используется канал pipe — весь вывод захватывается через перехват IAT ...

CrystalSliver

crystal-kit-sliver Crystal Palace 우회 키트를 Sliver C2로 포팅한 것입니다. 이것은 rasta-mouse의 Crystal-KitCobalt Strike을 Sliver로 포팅한 최초의 공개 포트입니다. Crystal-Kit-XenonMythic이 입증한 동일한 크로스-C2 패턴을 따릅니다. 라이선스: MIT — Copyright c 2026 Simone Licitra 대상: Windows x64 전용업스트림 제약 상태: 엔드투엔드 검증 완료 — Kali 빌드 파이프라인 + Windows 10 x...

CallObfuscator

CallObfuscator Обфусцируйте скрывайте импорты PE от средств статического/динамического анализа. Теория Это довольно просто. Допустим, я использовал VirtualProtect и хочу обфусцировать его с помощью Sleep. Инструмент изменит IAT так, что переход thunk, указывающий на VirtualProtect, будет указыват...

inject-assembly

inject-assembly - Execute .NET in an Existing Process This tool is an alternative to traditional fork and run execution for Cobalt Strike. The loader can be injected into any process, including the current Beacon. Long-running assemblies will continue to run and send output back to the Beacon,...

hookchain

Hookchain 요약 - EN 위협이 빠르고 복잡하게 진화하고 있는 현재의 디지털 보안 생태계에서, EDREndpoint Detection and Response 솔루션을 개발하는 기업들은 단순히 따라잡는 것에 그치지 않고 새로운 공격 벡터를 예측하는 혁신을 끊임없이 찾고 있습니다. 이러한 맥락에서, 이 글은 널리 알려진 기법들을 다른 관점에서 바라본 HookChain을 소개합니다. 이 기법들은 결합되었을 때 전통적인 EDR 시스템에 대한 정교한 회피 계층을 추가로 제공합니다. IAT 후킹 기법, 동적 SSN 해석, 그리고 ...

IAT-Hook

후킹 - IAT 후킹 후킹은 사용자가 프로그램의 실행 흐름을 리다이렉트할 수 있게 해주는 기법이다. 대부분의 경우 우리는 함수 후킹을 사용한다. 우리는 함수를 우리 자신의 함수로 교체하거나 리다이렉트할 것인데, 이는 매우 유용하며 다양한 사용 사례를 가지고 있다. 후킹에는 여러 가지 방법이 있는데, 여기서는 IAT Hooking을 살펴본다. 이는 Import Address Table의 약자이다. 이는 런타임에 채워지는 큰 테이블에서 함수의 주소를 우리 자신의 주소로 교체하는 것으로 구성된다. 다른 저장소에서 이전에 언급했듯이,...

CVE-2026-56664

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's external JWT Identity Provider validation in internal/idp/providers/jwt/session.go skips the maximum token age freshness check when an incoming token omits the iat claim, allowing arbitrarily old tokens...

CVE-2026-56664 ZITADEL: Missing Token Lifecyle Validation (`exp` and `iat`) in JWT IdP Provider

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's external JWT Identity Provider validation in internal/idp/providers/jwt/session.go skips the maximum token age freshness check when an incoming token omits the iat claim, allowing arbitrarily old tokens...

CVE-2026-56664 ZITADEL: Missing Token Lifecyle Validation (`exp` and `iat`) in JWT IdP Provider

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's external JWT Identity Provider validation in internal/idp/providers/jwt/session.go skips the maximum token age freshness check when an incoming token omits the iat claim, allowing arbitrarily old tokens...

CVE-2026-56664

ZITADEL’s external JWT Identity Provider validation (internal/idp/providers/jwt/session.go) did not enforce maximum token age (missing iat) in tokens, allowing arbitrarily old tokens from a trusted issuer to pass authentication. Affected: ZITADEL core platform; vulnerable code path in the JWT IdP...

CVE-2026-56664: Insufficient Session Expiration

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's external JWT Identity Provider validation in internal/idp/providers/jwt/session.go skips the maximum token age freshness check when an incoming token omits the iat claim, allowing arbitrarily old tokens...

PT-2026-57252

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's external JWT Identity Provider validation in internal/idp/providers/jwt/session.go skips the maximum token age freshness check when an incoming token omits the iat claim, allowing arbitrarily old tokens...

Insufficient Session Expiration

Overview Affected versions of this package are vulnerable to Insufficient Session Expiration in the JWT validation process. An attacker can maintain persistent unauthorized access by presenting tokens that omit the exp and iat claims, thereby bypassing session expiration and freshness checks. Thi...

NPM: Hono has improper validation of NumericDate claims (exp, nbf, iat) in JWT verify()

NPM: Hono has improper validation of NumericDate claims exp, nbf, iat in JWT verify vulnerability discovered by ? in WordPress Npm hono versions 4.12.18...

Hono has improper validation of NumericDate claims (exp, nbf, iat) in JWT verify()

Summary Improper validation of the JWT NumericDate claims exp, nbf, and iat in hono/utils/jwt allows tokens with non-spec-compliant claim values to silently bypass time-based checks. This issue is not exploitable by an anonymous attacker; it only manifests when a malformed claim value reaches...