Aladdin

Aladdin root@kitploit: .-. .-''-., | //\ ";\ "/ \ , |'./ \ '='-, /\ \ || ///\ '. T |\ | /,-' '. '..-' /'/ | | '. .'-../ ,\ / '-' |/ /-----j .--..--'\ / --' '---. / '---. -'. .' .-- '. \ '--. ;.-o / '. /.8----' c-'----' Lefty @lefterispan - Nettitude Red Team - 2022 / 2023 关于 Aladdin 是基于 James...

malasada

malasada Linux 版的 Donut，将 Linux ELF 共享对象（.so）转换为位置无关的 .bin 二进制块，可直接从内存中执行（例如，将其复制到 mmap 区域后，作为函数指针跳转执行）。 本项目有意避免使用 memfd（memfdcreate、对 memfd 执行 execveat 等）。 支持平台 Linux amd64 Linux arm64 Linux 386 构建 依赖： Go 1.25+ Zig 0.15+（go generate 及测试所需） 构建 CLI： root@kitploit: make 快速开始（本地） 构建一个 hello-world...

DotDumper

DotDumper 一个针对 .NET Framework 二进制文件的自动解包和日志记录工具！此工具已在 Black Hat USA 2022 上发布。在 Black Hat Asia 2023 上，发布了 DotDumperGUI 和 DotDumperNative，同时发布了 DotDumper 1.1-stable 版本。这三个工具应配合使用：DotDumper 1.1-stable 需要 DotDumperNative 的 DLL 存在，而 DotDumperGUI 则作为图形用户界面，用于打开和过滤 DotDumper 运行生成的 JSON 输出。...

Fiber

描述 纤程（Fiber）是一种执行单元，必须由应用程序手动调度，而不是依赖 Windows 内置的基于优先级的调度机制。纤程通常被称为轻量级线程。有关纤程概念及工作机制的更多详细信息，请查阅官方文档。 纤程允许在单个线程内部拥有多个执行流，每个执行流拥有自己的寄存器状态和栈。另一方面，纤程对内核是不可见 的，这使得它们比创建新线程更隐蔽（也更廉价）地执行内存代码。 一个线程可以创建多个纤程，并通过调用 SwitchToFiber 函数随意切换。在此之前，当前线程本身必须先通过调用 ConvertThreadToFiber...

HeaderLessPE

HeaderLessPE 介绍 English 相比MemDll等内存加载技术，扩展后的HeaderLessPE有两个优点： 避免传统PE的DOS头、PE头特征 DOS头和PE头经常是被内存扫描的照顾重点特征，在使用Cobalt Strike的时候常需要设置Profile文件将加载完成的Beacon头抹掉。使用HeaderLessPE就不需要担心这个问题。 支持重定位和导入表，能方便的将EXE转换为HeaderLessPE结构 只要是支持重定位，不包含如：Tls、delay import等结构都能够转换为HeaderLessPE,...

r77-rootkit

r77 Rootkit Fileless ring 3 rootkit r77 is a ring 3 rootkit that hides everything: Files, directories Processes & CPU/GPU usage Registry keys & values Services TCP & UDP connections Junctions, named pipes, scheduled tasks Hiding by prefix Everything that starts with "$77" is hidden. Configuration...

xwf-yara-scanner

概述 此 X-Ways Forensics X-Tension 允许在 X-Ways 中原生使用 YARA。它同时使用 X-Ways Forensics API 和 YARA API 来实现这一点。 注意：这是一个开源项目，并非正式的 CrowdStrike 产品。 在 X-Ways 中运行 YARA 相比通过命令行界面运行 YARA 有许多好处。 无需挂载目标介质，X-Tension 将读取案例快照中的每个文件到内存中并在那里进行扫描。没有文件写入磁盘。 允许用户使用 X-Ways 中的强大过滤器来限制 YARA 扫描的范围。 由于 X-Tension 利用 X-Ways...

DesckVB-RAT

DesckVB RAT v2.9 — 模块化 .NET RAT，多阶段投递与插件生态 工具链关联至 "Pjoao1578" 作者： ShadowOpCode X/Twitter： https://x.com/ShadowOpCode 本仓库附带一份完整的技术报告，记录了以 DesckVB RAT （一种在 2026 年初活跃攻击中被观察到的模块化 .NET 远控木马）为核心的 活跃恶意软件生态 。 该分析重构了 完整的感染生命周期 ，从初始 JavaScript 投递到内存执行、C2 通信以及按需插件部署。 ⚠️ 本仓库 不 分发恶意二进制文件。...

silph

SILPH：隐秘的内存本地密码收割者 SILPH 是一款开源红队工具，旨在完全在内存中转储 LSA 机密、SAM 哈希和 DCC2 凭据，无需将任何文件写入磁盘。 与上游项目 go-secdump 不同，SILPH 旨在集成到 Orsted C2 框架 中，并计划直接在 Windows 主机上运行，从而避免通过 RPC 创建服务的需要。 使用方法 首先克隆并编译（你需要 go 来执行）： root@kitploit: git clone [email protected]:almounah/silph.git cd silph GOOS=windows GOARCH=amd64...

PixelCode-Attack

Técnica de entrega de PixelCode malicioso Malicious PixelCode es un proyecto de investigación en seguridad que demuestra una técnica encubierta para codificar archivos ejecutables en datos de píxeles y almacenarlos dentro de imágenes o vídeos. Un cargador ligero recupera el archivo multimedia,...

NebulaPulsar

NebulaPulsar 更新：该项目现已成为 Alien 的子项目，用于展示我的想法和实验目的。 NebulaPulsar 是一个面向 Java JSP 和 ASP.NET ASPX/ASHX/ASMX 的概念验证型内存植入框架，最初作为 Alien 项目的一部分开发。 与传统仅关注命令执行的网页后门演示不同，NebulaPulsar 探索了内存植入体如何建立加密通信通道、动态加载载荷并完全在内存中执行。 该项目旨在用于安全研究、恶意软件分析和防御教育，并非设计为可实际使用的攻击性框架。 技术细节： NebulaPulsar：面向 JSP 和 ASP.NET 的概念验证型内存植入框架...

Soviet

Soviet 一个用于 Linux 的 C 语言运行时加密器。 此工具将加密 ELF 二进制文件，但允许它们在内存中运行时无需使用文件句柄。随后，它会用随机数据覆盖内存中的程序。其目的是使二进制分析和内存分析更加困难。 依赖 在 Debian 上： root@kitploit: sudo apt install make build-essential libssl-dev libssl3 在 Fedora 上： root@kitploit: sudo dnf install make glibc-devel openssl openssl-devel 构建与安装：...

TinyLoad

TinyLoad v7.4 - 适用于 Windows 的 PE 加壳器与加密器 TinyLoad 是一款针对 x64 可执行文件的 PE 加密器/加壳器，它通过多层不同的保护机制对输入的 exe 进行加壳，以防止其被逆向工程。它仅由单个 .cpp 文件组成，且没有任何外部依赖。 工作原理 TinyLoad 将你的载荷（payload）附加到自身副本的末尾。当加壳后的 exe 运行时，它会提取载荷、解密，并直接在内存中执行，全程不会将原始文件写入磁盘。每次加壳时，VM 操作码都会被随机更改并放入 4 个独立密钥的子表中，因此不会有两个完全相同的构建产物。 pack 处理流程...

ThreadStackSpoofer

线程栈欺骗 / 调用栈欺骗概念验证 一种高级内存驻留规避技术的概念验证实现，用于欺骗线程调用栈。该技术可绕过基于线程的内存检查规则，在进程内存中更好地隐藏 shellcode。 简介 本示例实现了 线程栈欺骗 技术，旨在规避恶意软件分析师、AV 和 EDR 通过检查线程调用栈中 shellcode 帧的引用。其核心思路是隐藏线程调用栈中指向 shellcode 的引用，从而伪装包含恶意代码的内存分配。 本实现与我的 ShellcodeFluctuation 一起，为红队工具提供了与商业 C2 产品相媲美的示例，让我们在红队工具中不落下风。💪 实现已变更...

Forblaze

Forblaze - Un generador de payloads de esteganografía para Mac en Python / Ejecución en memoria de Dylib/MachO Autor: AsaurusRex Descargo de responsabilidad NO utilice este proyecto para fines distintos a trabajos legítimos de red team/pentesting o investigación. NO lo utilice para actividades...

MiniPlasma-Runner

MiniPlasma-Runner 修改自 Nightmare-Eclipse/MiniPlasma（CVE-2020-17103）的版本，适配 C2 使用。 原始 PoC 仅从磁盘运行。此版本通过执行程序集完全在内存中运行，采用拆分二进制方法以避免检测。 免责声明 本工具仅用于授权安全测试和教育目的。在未获得明确书面许可的情况下使用本工具攻击系统是非法且不道德的。作者不对因使用本工具而导致的滥用或损害承担责任。进行任何安全测试前请务必获得适当授权。 变更内容 将多进程阶段重构为单进程线程执行（不再通过 Assembly.Location 自行重启动） 移除了会终止宿主进程的...

sqlwinds

SQLWinds Kit de Evaluación de Seguridad y Post-Explotación para SQL SQLWinds es una herramienta de línea de comandos para pruebas de seguridad y explotación de Microsoft SQL Server. Proporciona un entorno interactivo para analizar servidores en profundidad, escalar privilegios, ejecutar ataques y...

Amnesiac

Amnesiac Amnesiac 是一个后渗透框架，旨在辅助在活动目录环境中的横向移动。 Amnesiac 的开发旨在弥补 Windows 操作系统上的一个空白，在该系统上，后渗透框架除非明确安装，否则不易获得。实际上，它完全用 PowerShell 编写，可以像其他任何 PowerShell 脚本一样在内存中加载和执行。 如果您觉得 Amnesiac 有价值并且喜欢这个项目，请考虑在 GitHub 上给我们一个星标。您的支持激励开发者继续改进和维护这个项目。 请阅读文档以充分利用 Amnesiac：https://leo4j.gitbook.io/amnesiac/ 加载与运行...

AlanFramework

Alan 框架 Alan Framework 是一个在红队活动中有用的后渗透框架。 如果你觉得我的工具有用，请考虑赞助我。 ⚠⚠⚠ 免责声明 ⚠⚠⚠ 此类软件的创建一直引发争议。如果你想知道我为什么决定创建这个工具，那是因为我相信最终的学习体验是实现你所学的知识。在逆向工程过程中，许多小细节被忽略。渐渐地，这些细节阻碍了研究人员全面了解正在发生的事情。最后，我首先是一名程序员，我喜欢开发这类程序 😄 下载 下载 Alan C2 框架 显著特点 你可以直接在内存中运行你喜欢的工具 JavaScript 脚本执行（内存中，无需第三方依赖） 完全兼容的 SOCKS5 代理...

fireELF

fireELF fireELF 是一个开源的无文件 Linux 恶意软件框架，具有跨平台特性，允许用户轻松创建和管理载荷。默认情况下，它包含 'memfdcreate' 功能，这是一种全新的方式，可以在完全不接触硬盘的情况下，直接从内存运行 Linux ELF 可执行文件。 屏幕截图 特性 选择并构建载荷 能够压缩载荷 能够通过将载荷源码上传到 pastebin 来缩短载荷，然后创建一个非常小的加载器，兼容 python 2.5"...