amber

はじめに Amber は、位置独立（リフレクティブ）な PE ローダーであり、ネイティブ PE ファイル（EXE、DLL、SYS など）をメモリ内で実行できるようにします。これにより、アンチウイルス、ファイアウォール、IDS、IPS 製品、およびアプリケーションホワイトリスト化対策を回避するためのステルス性の高いメモリ内ペイロード展開が可能になります。Amber によって生成されたリフレクティブペイロードは、リモートサーバーからステージングするか、一般的なシェルコードと同様にメモリ内で直接実行できます。デフォルトでは、生成されたすべてのペイロードは、新しい世代の SGN エンコーダ...

pupy

Pupy Pupyは、オープンソースのクロスプラットフォーム Windows、Linux、OSX、Android な多機能RAT リモート管理ツール およびポストエクスプロイトツールで、主にPythonで書かれています。すべてインメモリで実行されるガイドラインを持ち、非常に低いフットプリントを残します。Pupyは、さまざまなトランスポートを使用して通信し、プロセスへの移行（リフレクティブインジェクション）、リモートPythonコード、Pythonパッケージ、Python C拡張をメモリからロードできます。...

xwf-yara-scanner

概要 これは、X-Ways Forensics X-Tensionを使用して、YARAをX-Ways内でネイティブに利用できるようにするものです。これは、X-Ways Forensics APIとYARA APIの両方を使用して実現されています。 注: これはオープンソースプロジェクトであり、正式なCrowdStrike製品ではありません。 X-Ways内でYARAを実行することには、コマンドラインインターフェースを介してYARAを実行するのに比べて多くの利点があります。...

ThreadStackSpoofer

スレッドスタックスプーフィング / コールスタックスプーフィング PoC スレッドコールスタックを偽装する高度なメモリ内回避手法のPoC実装です。この手法により、スレッドベースのメモリ検査ルールをバイパスし、プロセス内メモリ内でシェルコードをより適切に隠すことができます。 はじめに...

ator

Authentication Token Obtain and Replace Extender Introduction In the world of web security testing, automation is key, and Burp Suite is the go to choice. However, to truly harness the power of Burp for automated scanning, you need the right plugins. That's where ATOR comes in. This open-source...

donut

現在のバージョン: v1.1 目次 1. はじめに 2. 動作の仕組み 3. ビルド 4. 使用方法 5. サブプロジェクト 6. Donutを使った開発 7. 質問と議論 8. 免責事項 1. はじめに Donut は、VBScript、JScript、EXE、DLL ファイル、および dotNET アセンブリのメモリ内実行を可能にする、位置独立コードです。Donut によって作成されたモジュールは、HTTP サーバーからステージングするか、ローダー自体に直接埋め込むことができます。モジュールはオプションで、Chaskey...

MemoryModulePP

MemoryModulePP memorymodule:https://github.com/fancycode/MemoryModule 用于从内存中加载 DLL 的库 基于 memorymodule 修改。支持异常处理...

Pyramid

Pyramid 概要 Pyramidは以下で構成されています： 1. 暗号化されたファイル（chacha、xor）を配信できるPython HTTP/Sサーバー 2. Bloodhound-py、secretsdump、LaZagne、Pythonnet、DonPAPI、pythonmemorymodule、paramiko、pproxyなどの攻撃ツールの依存関係をメモリ内にロードできるPythonモジュール 3. メモリ内にインポート可能な固定Python依存関係（zipファイル） 4. Pyramidモジュールをダウンロード、復号化、メモリ内で実行できるPythonクラッドル なぜ便...

PythonMemoryModule

PythonMemoryModule MemoryModule技術の純粋なPython実装。DLLまたはアンマネージドEXEをメモリから完全にロードします。 "Python memory module" AI生成画像 - hotpot.ai 概要 PythonMemoryModuleは、Joachim Bauch氏が最初に公開したMemoryModule技術のPython ctypes移植版です。外部ライブラリ（pyd）を必要とせずにPythonを使用してDLLやアンマネージドEXEをロードでき、コマンドラインパラメータの受け渡しを（部分的に）サポートしています。...

Fiber

説明 ファイバーとは、Windowsに組み込まれている優先度ベースのスケジューリング機構に依存するのではなく、アプリケーションが手動でスケジュールする必要がある実行単位です。ファイバーは、軽量スレッドと呼ばれることもよくあります。ファイバーとは何か、どのように動作するかの詳細については、公式ドキュメントを参照してください。 ファイバーを使用すると、1つのスレッド内で複数の実行フローを持つことができ、それぞれが独自のレジスタ状態とスタックを持ちます。一方、ファイバーはカーネルからは不可視 であり、新しいスレッドを生成するよりもステルス性が高く（かつ安価な）インメモリコード実行方法となります...

java-stager

java-stager メモリ内でJavaファイルをダウンロード、コンパイル、実行できるPoC Java Stagerです。 これは研究目的のみであり、許可されていない場所では使用しないでください。 これは何ですか？ これはJames Williams氏のトーク「Next Gen AV vs My Shitty Code」の成果に基づいています。動画はこちら： https://www.youtube.com/watch?v=247m2dwLlO4&feature=youtu.be 私にとってトークの重要な部分は以下の通りです：...

chalumeau

Chalumeau Chalumeau is automated,extendable and customizable credential dumping tool based on powershell and python. Main Features Write your own Payloads In-Memory execution Extract Password List Dashboard reporting / Web Interface Parsing Mimikatz Dumping Tickets Screenshots Known Issues Parsin...

DotDumper

DotDumper DotNet Framework をターゲットとするファイルのための自動アンパッカー兼ロガーです！このツールは Black Hat USA 2022 で発表されました。Black Hat Asia 2023 では、DotDumperGUI と DotDumperNative、および DotDumper バージョン 1.1-stable が公開されました。これら3つのツールは一緒に使用することを想定しており、DotDumper 1.1-stable は DotDumperNative の DLL が存在する必要があり、DotDumperGUI は DotDumper...

AlanFramework

Alan Framework Alan Framework は、レッドチーム活動で有用なポストエクスプロイテーションフレームワークです。 このツールが役立つと感じられたなら、スポンサーになることをご検討ください。 ⚠⚠⚠ 免責事項 ⚠⚠⚠...

sqlwinds

SQLWinds SQL 安全评估与后渗透工具包 SQLWinds 是一款用于对 Microsoft SQL Server 进行安全测试与利用的命令行工具。它提供了一个交互式环境，可深度分析服务器、提升权限、执行攻击并在网络中横向移动，同时配备用于内存代码执行和 SCCM 数据库探测等任务的专用命令。 📖 文档与资源 快速链接： 完整文档与 Wiki - 完整使用指南和命令参考 报告问题 - 发现了 Bug 或有功能请求？ 最新版本 - 下载最新版本 功能特性 多种身份验证： 支持 SQL、Windows 集成（--integrated）和 Kerberos 委派（--kerberos...

wslink-vm-analyzer

WslinkVMAnalyzer WslinkVMAnalyzer es una herramienta desarrollada principalmente para facilitar el análisis de Wslink, que es un cargador único que actúa como servidor y ejecuta en memoria los módulos recibidos. Esta herramienta utiliza Miasm, un framework de código abierto que nos proporciona un...

cs-token-vault

适用于 Cobalt Strike 的 Token Vault BOF 此 Beacon 对象文件 BOF 可在内存中创建用于存储已窃取/复制的 Windows 访问令牌的存储空间，使您能够： 无需重新复制即可热切换/重用已窃取的令牌。 存储令牌以备人员注销后使用。 安装 1. 下载最新版本的 build，或运行 make all 构建。 2. 将 token-vault.cna 攻击脚本加载到你的 Cobalt Strike 客户端。 用法 root@kitploit: beacon help token-vault Available Commands: Create a new...

ShellcodeFluctuation

Shellcode Fluctuation PoC A PoC implementation for an another in-memory evasion technique that cyclically encrypts and decrypts shellcode's contents to then make it fluctuate between RW or NoAccess and RX memory protection. When our shellcode resides in RW or NoAccess memory pages, scanners such ...

MouseServer-1.7.8.5-RCE

WiFi Mouse Server 1.7.8.5 - RCE 针对 WiFi Mouse Server v1.7.8.5 的优化版 Python 3 概念验证（PoC）漏洞利用脚本。该脚本利用协议中固有的漏洞，通过自动化键盘按键注入实现远程代码执行（RCE）。 本版本经过专门修改和调优，适用于实验室环境，在这些环境中，传统的公开漏洞利用脚本会因主机加固限制（例如 certutil.exe 执行受限或二进制下载被阻止）而失败。 背景与致谢 与社区发现（如 CVE-2022-3218）一同被跟踪记录。 大量灵感来自并改编自 RedHatAugust 的原始公开漏洞利用脚本，Exploit-...

MoreImpacketExamples

MoreImpacketExamples 本仓库包含一些使用 Impacket 库编写的简短 Python 脚本。本项目的主要目标是帮助我自己以及那些希望从使用现成的 impacket 示例过渡到修改/创建自己脚本的人。这些脚本不一定针对实用性或 OPSEC 考虑进行过优化，但我已尽可能让它们保持动态化，以防有人想要更改其默认行为。 wmiregexec.py wmiregexec.py 脚本旨在通过写入 Windows 注册表的方式，完全经由 WMI 执行文件。它首先将 base64 编码的文件与 PowerShell AMSI/ETW 绕过一起写入目标的注册表位置。然后，使用一个...