awesome-edr-bypass

Awesome EDR Bypass 🛡️ Awesome EDR Bypass 资源，面向道德黑客 ⚔️ EDR 绕过技术并非仅为攻击者所用。如今许多恶意软件已具备 EDR 绕过能力，渗透测试人员和事件响应者也应了解这些知识。本仓库不应用于升级攻击，请用于道德黑客攻防。 PoC trickster0/TartarusGate: TartarusGate, 绕过 EDRs am0nsec/HellsGate: Hell's Gate VX 技术的原始 C 实现 该 PDF 论文提供了 EDR 绕过技术的精彩总结。 Maldev-Academy/HellHall: 执行间接干净系统调用...

lacuna-rs

lacuna-rs 适用于 Windows x64 的幽灵帧调用栈欺骗 + 运行时间接系统调用 —— 已移植到 Rust。 移植自 Mohamed Alzhrani 0xmaz 的 LACUNA Chain（lacunachain.c）。 lacuna-rs 是一个可复用的 Rust crate，提供与原始 C TTP 相同的原语，其结构设计使其可以轻松集成到任何 Rust 项目中 —— 类似于 wsyscall-rs 或 syscalls-rs，但具备运行时 SSN 解析 、按函数定向的syscall;ret 以及幽灵帧栈欺骗 能力。 关键：帧指针要求 如果使用该 crate...

acheron

About Acheron is a library inspired by SysWhisper3/FreshyCalls/RecycledGate, with most of the functionality implemented in Go assembly. acheron package can be used to add indirect syscall capabilities to your Golang tradecraft, to bypass AV/EDRs that makes use of usermode hooks and instrumentatio...

DInvoke_rs

DInvokers Rust 移植版，源自 Dinvoke。DInvokers 可用于多种用途，例如 PE 解析、动态解析导出函数、在运行时动态加载 PE 插件、规避 API 钩子等。 功能特性： 从 Rust 动态解析并调用未文档化的 Windows API。 提供可用于战略性规避 API 钩子的原语。 间接系统调用。仅限 x64 手动映射来自磁盘或直接来自内存的 PE 模块。 PE 头解析。 将 PE 模块映射到由磁盘上任意模块支持的内存区域。不符合 Opsec 要求 模块波动（Module fluctuation）以隐藏已映射的 PE（支持并发）。不符合 Opsec 要求...

DarkWidow

DarkWidow 一款面向 Windows 的可定制投递工具。 特别鸣谢： 1. BlackHat Asia, 2024 - 工具征集 2. BlackHat USA, 2024 - 工具征集 3. BlackHat SecTor, 2024 - 工具征集 4. BlackHat Europe, 2024 - 工具征集 5. Wild West Hacking Fest 2024 - Arsenal 非常感谢 Soumyadeep Da 即 @SoumyadeepBas12 鼓励我申请这些会议，否则我不会这么做 : 非常感谢 Faran 即 @Chrollol33t...

NovaLdr

NovaLdr ⚜️ NovaLdr 是一个用 Rust 编写的无线程模块踩踏（Threadless Module Stomping）工具，旨在作为探索恶意软件开发世界的学习项目。它使用间接系统调用和字符串加密等高级技术来实现其功能。该项目并非旨在成为完整或完善的产品，而是深入恶意软件技术层面的旅程，展示各种技术和特性。 功能概览 💡 间接系统调用 字符串加密 Shellcode 加密 : 简单 XOR 并将 Shellcode 字节转换为 MAC 地址 无线程执行 无线程注入: 将蹦床写入给定 DLL 内的指定函数，并重定向以加载另一个 DLL。 JMPThreadHijack: 在不调...

rust_syscalls

RUSTSYSCALLS 用于 Windows 的单桩直接与间接系统调用，附带运行时 SSN 解析。 特性： 所有系统调用仅需一行代码 编译期函数名哈希 直接或间接系统调用 支持 x8664、WOW64 和 x86 原生架构 设计上允许实现自定义 SSN 获取方法（更多信息请查看本自述文件末尾） 使用方法： 1. 将 git 仓库 / 本地路径作为依赖项添加到你的库中： rustsyscalls = git = "https://github.com/janoglezcampos/rustsyscalls" 或 rustsyscalls = path = 2. 通过在特性中设置 DIRE...

Unwinder

目录 SilentMoonWalk 描述 致谢 用法 callfunction! 宏 indirectsyscall! 宏 参数传递 示例 调用 kernel32.dll!Sleep 调用 kernel32.dll!OpenProcess 以间接系统调用方式调用 NtDelayExecution 串联宏调用 注意事项 初始帧 PoC 栈替换 技术描述 使用方法 实际示例 备注 SilentMoonWalk 描述 Unwinder 提供了对 SilentMoonWalk 技术的完整武器化实现，使得能够在 Rust 中获得完整且稳定的调用栈欺骗（call stack spoofing）。...

HWSyscalls

HWSyscalls 主要贡献者 描述 HWSyscalls 是一种使用 3 个主要组件来执行间接系统调用（indirect syscalls）的新方法： 使用硬件断点（Hardware breakpoints）和向量化异常处理程序（Vectored Exception Handler）来控制执行流程。 使用 HalosGate 来查找系统调用编号和地址。 在 kernel32 上利用硬件断点创建合成蹦床（synthetic trampoline）。 HWSyscalls 作为一个易于集成的库提供，可添加到任何想要使用间接系统调用、且不会触发基于现有间接系统调用检测方式的 EDR 或 A...

DEFCON-31-Syscalls-Workshop

（间接）直接系统调用：从高层到底层的旅程 RedOps | Red Team Village | DEF CON 31 开始入门 所有的理论 和练习手册 都可以在wiki中找到，它们与准备好的 POC 一起构成了本项目的核心。练习 对应的 POC 可以在此主页 上找到。 祝学习愉快！ Daniel Feichter 免责声明 首先，衷心感谢 我的女朋友，十多年来她一直支持我所做的一切！没有她的支持和帮助，过去十年里我的任何项目都不可能完成。 还要感谢我的好友、AV-Comparatives 的 Andreas Clementi，自从我们第一次见面以来，他一直支持我。也感谢我的朋友 Jon...

nimvoke

nimvoke 间接系统调用（Indirect syscalls）+ DInvoke，简单易用。 nimvoke 的设计目的是直接导入到您自己的 Nim 项目中，它使用宏来抽象化间接系统调用和 DInvoke 风格委托声明的细节。这个库力求开箱即用且相对符合操作安全（op-sec）要求。宏中使用的函数名和库名在编译时进行哈希处理，并且无论是否存在钩子，都会检索 SSN 和 syscall 指令地址。所有系统调用都经过 ntdll.dll 中正确的 syscall 指令。 用法 通过 nimble 安装（nimble install...

AtlasLdr

Atlas 是一个反射式 x64 加载器，具有以下功能： 功能 从远程服务器获取 DLL 和 PE 在远程进程中手动映射 擦除 DOS Header 和 NTHeader 的 Magic 字节 位置无关代码 使用间接系统调用 ZwOpenProcess ZwAllocateVirtualMemory ZwProtectVirtualMemory ZwQuerySystemInformation ZwFreeVirtualMemory ZwCreateThreadEx 所有系统调用共用一个 Stub 动态获取 SSN 动态解析系统调用地址 Atlas 还使用 LdrLoadDll...

CallstackSpoofingPOC

调用栈欺骗 + 间接系统调用 POC 这个项目由一个简单的 C++ 自注入 Dropper 组成，专注于 EDR 规避 POC。为了实现它，我结合使用了 Windows Thread Pooling 来隐藏调用栈，并使用 indirect syscalls 来避免 NTDLL 中的挂钩。 2023-10-08-23-22-35-Trim image image image image 从图片中可以看出，在 Cordyceps 代码中，它执行了一次跳转到 ntdll，以利用其中的一条 syscall 指令。这应被视为恶意行为；然而，在执行 ntdll 中的返回后，我们会返回到位于 ntdl...

hookchain

Hookchain 摘要 - 英文 在当前数字安全生态系统中，威胁以快速且复杂的方式演变，开发端点检测与响应（EDR）解决方案的公司不断寻求创新，不仅要跟上，更要预判新兴的攻击向量。 在此背景下，本文介绍了 HookChain——一种以另一个视角看待广为人知的技术组合，这些技术组合在一起，为绕传统 EDR 系统提供了一层额外的复杂规避手段。 通过精确结合 IAT Hooking 技术、动态 SSN 解析和间接系统调用，HookChain 以一种对仅监控 Ntdll.dll 的 EDR 来说不可见的方式，重定向 Windows 子系统的执行流程，且无需修改所涉及应用程序和恶意软件的源代码。...

NullGate

NullGate 本项目实现了一种便捷且现代的方式来使用 NTAPI 函数，通过间接系统调用（indirect syscalls），并结合了 FreshyCalls 方法，在动态获取系统调用编号方面做了一点改动。 它还使用了一种我尚未见他人提及的技术来绕过 Windows Defender 的内存扫描。 该项目使用该库实现了一个经典的 PoC 进程注入器。 同时提供了一些便捷的加密函数。 演示 构建 要构建示例，请使用 -DNULLGATEBUILDSAMPLE=ON。 如果你直接构建 nullgate，产物会位于 /sample.exe；如果是作为依赖构建，则在...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...

AtomLdr - A DLL Loader With Advanced Evasive Features

A DLL Loader With Advanced Evasive Features Features: CRT library independent. The final DLL file, can run the payload by loading the DLL executing its entry point, or by executing the exported "Atom" function via the command line. DLL unhooking from \KnwonDlls\ directory, with no RWX sections. T...