nimvoke

nimvoke 間接システムコール + DInvoke をシンプルに。 自身の Nim プロジェクトに直接インポートできるように設計された nimvoke は、マクロを使って間接システムコールと DInvoke スタイルのデリゲート宣言の詳細を抽象化します。このライブラリは、すぐに使えて比較的 op-sec フレンドリーになることを意図しています。マクロで使用される関数名とライブラリ名はコンパイル時にハッシュ化され、SSN と syscall 命令のアドレスはフックの有無にかかわらず取得されます。すべてのシステムコールは ntdll.dll 内の正しい syscall 命令を経由します。...

CsWhispers

CsWhispers C プロジェクトに D/Invoke と間接システムコールのメソッドを追加するソース ジェネレーター。 クイックスタート 最新の NuGet パッケージをプロジェクトに追加し、unsafe コードを許可します。 root@kitploit: Exe net481 enable enable 12 true true プロジェクト内に CsWhispers.txt というファイルを作成し、そのビルドアクションのプロパティを AdditionalFiles に設定します。 root@kitploit:...

DInvoke_rs

DInvokers Dinvoke의 Rust 포팅 버전입니다. DInvokers는 PE 파싱, 동적 내보내기 함수 해석, 런타임 시 PE 플러그인 동적 로딩, API 후크 우회 등 다양한 용도로 사용할 수 있습니다. 기능: Rust에서 문서화되지 않은 Windows API를 동적으로 해석하고 호출합니다. 전략적 API 후크 우회를 가능하게 하는 프리미티브. 간접 시스템 콜. x64 전용 디스크 또는 메모리에서 직접 PE 모듈을 수동으로 매핑합니다. PE 헤더 파싱. PE 모듈을 디스크의 임의 모듈이 지원하는 섹션에 매핑합니다...

AtlasLdr

Atlas는 다음과 같은 기능을 갖춘 리플렉티브reflective x64 로더입니다: 기능 원격 서버에서 DLL 및 PE 가져오기 원격 프로세스에 대한 수동 매핑Manual Mapping DOS 헤더 및 NTHeader 매직 바이트 지우기 위치 독립 코드Position independent code 간접 Syscall 사용 ZwOpenProcess ZwAllocateVirtualMemory ZwProtectVirtualMemory ZwQuerySystemInformation ZwFreeVirtualMemory...

CallstackSpoofingPOC

콜스택 스푸핑 + 간접 Syscalls POC 이 프로젝트는 EDR 우회 POC에 초점을 맞춘 간단한 C++ 자체 주입 드로퍼로 구성되어 있습니다. 구현을 위해 콜 스택을 숨기기 위한 Windows Thread Pooling 과 NTDLL 후킹을 피하기 위한 indirect syscalls 사용을 결합했습니다. 2023-10-08-23-22-35-Trim image image image image 이미지에서 볼 수 있듯이, Cordyceps 코드는 syscall 명령어 중 하나를 활용하기 위해 ntdll로 점프를 수행합니다. ...

hookchain

Hookchain 요약 - EN 위협이 빠르고 복잡하게 진화하고 있는 현재의 디지털 보안 생태계에서, EDREndpoint Detection and Response 솔루션을 개발하는 기업들은 단순히 따라잡는 것에 그치지 않고 새로운 공격 벡터를 예측하는 혁신을 끊임없이 찾고 있습니다. 이러한 맥락에서, 이 글은 널리 알려진 기법들을 다른 관점에서 바라본 HookChain을 소개합니다. 이 기법들은 결합되었을 때 전통적인 EDR 시스템에 대한 정교한 회피 계층을 추가로 제공합니다. IAT 후킹 기법, 동적 SSN 해석, 그리고 ...

ROPE

ROPE: Routed Origin Policy Enforcement 本論文のソースコード: ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection by Xinhang Ma, Chaowei Xiao, William Yeoh, Ning Zhang, Yevgeniy Vorobeychik 概要...

stealth_call

이게 뭔가요? Windows x64용 헤더 전용 라이브러리로, ntdll 임포트를 건드리지 않고, 바이너리에 문자열을 남기지 않고, EDR이 의심을 품게 만드는 일반적인 위험 신호 없이 모든 NT 시스템 콜을 호출할 수 있게 해줍니다. CRT 없음. STL 없음. IAT 없음. 전체가 DLL 의존성 0개로 약 19KB로 컴파일됩니다. 기존 시스템 콜 라이브러리의 흔한 함정평문 문자열, 알려진 해시 상수, ntdll이 아닌 메모리에서의 직접 시스템 콜, "이상한 짓을 하고 있다"는 신호를 보내는 IAT 임포트, SECNOCHAN...

markdown-exfil-tester

valtik-markdown-exfil-tester Черноящиковый тестер для косвенной инъекции подсказок, приводящей к эксфильтрации Markdown/HTML в чат-ботах на базе LLM. Это класс уязвимости, который поразил Microsoft 365 Copilot CVE-2025-32711, также известен как EchoLeak, ChatGPT исправление OpenAI от февраля 2026...

cve-2026-62737-lab

CVE-2026-62737: 크래시에서 랩 지원 SYSTEM으로 원본 CVE-2026-62737 분석 문서의 후속편입니다 ExecutionContext.sys의 임의 커널 간접 호출. 크래시 PoC를 실제로 동작하는 토큰 교체 체인으로 바꿔 cmd.exe를 SYSTEM으로 실행하지만, 디버거가 주소를 제공하고 ROP 체인을 커널 메모리에 써 넣는 랩 환경에서만 가능합니다. 이는 독립형 익스플로잇이 아닙니다. 기능 1. KLoader 프록시를 통해 로우 유저로 ExecutionContext 디바이스를 엽니다. 2...

NullGate

NullGate 이 프로젝트는 동적 syscall 번호 검색을 위한 약간의 변형을 가미한 FreshyCalls 방식과 함께 간접 syscall을 사용하여 NTAPI 함수를 편리하고 현대적인 방식으로 사용할 수 있게 해줍니다. 또한 Windows Defender의 메모리 검색을 우회하기 위해 언급된 적 없는 기술을 사용합니다. 이 프로젝트는 라이브러리를 사용하는 고전적인 PoC 프로세스 인젝터를 구현합니다. 암호화를 위한 편리한 함수도 제공됩니다. 데모 빌드 샘플을 빌드하려면 -DNULLGATEBUILDSAMPLE=ON을...

IPI-exposure-signal

IPI 노출 신호 본 논문의 코드 저장소입니다: 당신의 에이전트 LLM은 간접 프롬프트 인젝션 노출의 잠재 신호를 은밀하게 인코딩합니다. ArXiv 버전 및 논문 링크: https://arxiv.org/abs/2608.02657 이 저장소는 잠재 IPI 노출 신호를 위한 프로빙 파이프라인을 구현합니다: AgentDojo 트레이스 수집, IPI 위험 라벨링, 히든 스테이트 특성화featurization, 그리고 IPI 노출 프로브 훈련/평가. 인용 root@kitploit:...

CVE-2022-24481-analysis

CVE-2022-24481 타입 혼동 타입 혼동 취약 파일 clfs.sys 근본 원인 rgContainers0에 대한 검증 로직이 엄격하지 않기 때문에, rgContainers0를 위조한 후 ClientContext가 ContainerContext 구조체와 겹치게 된다. 위조된 데이터가 수락되면, CloseHandle 이후 CClfsLogFcbPhysical::FlushMetadata가 ClientContext 데이터를 복원한다. 이용 방법 rgContainers0를 위조한 후, ClientContext가...

CVE-2026-80576 drm/amdgpu: reject oversized IBs with per-ring packet limits

In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: reject oversized IBs with per-ring packet limits On GFX rings, amdgpucsp2ib passed user-supplied ibbytes through to ib-lengthdw without a limit, while ringemitib encodes length into packet fields. Oversized values can...

PT-2026-81916

Name of the Vulnerable Software and Affected Versions Compliance-trestle versions prior to 3.12.4 Compliance-trestle versions 4.0.0 through 4.0.3 Description Compliance-trestle is a Python SDK and command-line tool for managing OSCAL compliance documents. The catalog-generate, profile-generate, a...

Astra Linux – Vulnerabilities in Linux 5.10, Linux 5.15

In the Linux kernel, the following vulnerability has been resolved: udf: Fixed the issue of discarding data before allocation at the indirect extent boundary. When the preallocation extent is the first one in the extent block, the code would corrupt the extent tree header instead. This issue has...

Astra Linux – Vulnerability in Linux 6.1

In the Linux kernel, the following vulnerability has been resolved: x86/hyperv: Disabling IBT when the hypercall page lacks the ENDBR instruction. On hardware that supports Indirect Branch Tracking IBT, Hyper-V VMs with ConfigVersion 9.3 or later support IBT in the guest. However, current version...

Astra Linux – Vulnerabilities in Linux 5.10, Linux 5.15

In the Linux kernel, the following vulnerability has been resolved: btrfs: fixed an inode list leak during backref walking at resolveindirectrefs During backref walking, at resolveindirectrefs, if an error occurs, we jump to the ‘out’ label and call freeleaflist on the ‘parents’ ulist. This frees...

Astra Linux – Vulnerability in grub2

An integer overflow flaw was discovered in the BFS file system driver within grub2. When reading a file using an indirect extent map, grub2 fails to validate the number of extent entries to be read. A maliciously crafted or corrupted BFS file system may cause an integer overflow during file...

leash-poc

leash-poc: MCP tool-poisoning, contained by an independent pol...