CVE-2025-61155

CVE-2025-61155 — GameDriverX64.sys中的任意进程终止 一个经过签名的内核模式反作弊驱动程序——GameDriverX64.sys，随幻塔 （Hotta Studio / Perfect World）一同提供——允许任何非特权本地用户终止任意进程 ，包括受PPL保护的杀毒软件/EDR服务。这是勒索软件操作者会利用的那种原语，并且目前正在被 Interlock 组织在野积极滥用 作为BYOVD EDR-killer。 本仓库是一个完整且可重现的拆解：安全公告、原始IDA Pro逆向工程分析、概念验证（PoC）以及现成的检测与缓解内容。 研究人员： Gabrie...

VectorKernel

VectorKernel カーネルモードルートキット技術の研究または教育のためのPoCです。 現在はWindows OSに焦点を当てています。 すべてのモジュールはx64ファミリの64ビットOSのみをサポートしています。 環境 すべてのモジュールはWindows 11 x64でテストされています。 ドライバをテストするには、テスト用マシンで以下のオプションを使用できます。 1. テスト署名済みドライバの読み込みを有効にする 2. カーネルモードデバッグの設定 各オプションでは、セキュアブートを無効にする必要があります。 モジュール...

CVE-2016-7255

CVE-2016-7255 Microsoft Windows Vista SP2、Windows Server 2008 SP2およびR2 SP1、Windows 7 SP1、Windows 8.1、Windows Server 2012 GoldおよびR2、Windows RT 8.1、Windows 10 Gold、1511、1607、Windows Server 2016のカーネルモードドライバにより、ローカルユーザーが細工されたアプリケーションを介して特権を昇格できる脆弱性があります。別名「Win32k 特権昇格の脆弱性」。 リビア出身、17歳のGihad...

NtWarden

NtWARden Windows 分析与研究工具包 基于 ImGui + DirectX 11 构建的 Windows 系统检查工具。 涵盖进程、服务、网络、内核内部机制等——支持本地检查或通过 WinSysServer 进行远程检查。 ⚠️ 本项目的部分代码在 AI 辅助下编写（vibe coding），因此可能存在一些缺陷。 内核驱动（KWinSys）应仅安装在测试虚拟机中，仅供研究使用。 屏幕截图 进程（内核模式） 进程（用户模式）| ETW 会话| 内核回调 ---|---|--- 内核池| 符号| 过滤器 架构 组件| 作用 ---|--- NtWarden| GUI...

aegis

Aegis カーネルモードのプロセス保護ドライバー。ObRegisterCallbacks を使用して、ハンドルからのメモリアクセス許可を剥奪します。基本的な実装であり、ハンドル作成をフックし、不正なアクセス試行から PROCESSVMREAD/WRITE/OPERATION を削除します。 注: GIFがアニメーションしない場合は、Imgurで直接表示してください。 概要 ドライバーは高度 321123 でOBコールバックを登録し、OBOPERATIONHANDLECREATE および OBOPERATIONHANDLEDUPLICATE...

backdoors

后门 本项目包含用于维持系统访问的工具，以及 Hacker House 团队编写的概念验证演示。这些工具旨在模拟或演示常见的持久化技术，例如内核模式挂钩及命令与控制（C2）实现。 文件| 描述 ---|--- bindshell.go| 使用 GoLang 编写的绑定 shell 示例 bindshell.py| 使用 Python 编写的绑定 shell 示例 cmdbot.py| 通过 IRC C2 执行命令的 Python 机器人 filehider.tgz| 用于隐藏文件的 Linux 内核模块 halloween.py| Python 脚本追加器 VX 注入 PoC...

HyperDbg

HyperDbg Debugger HyperDbg Debugger は、Windows 向けのオープンソースのハイパーバイザ支援型デバッガです（Linux 対応は現在開発中です！）。ユーザーモードとカーネルモード（ネイティブ）の両方のデバッグをサポートしています。リバースエンジニアリング、ファジング、そして最新のハードウェア仮想化とトレーシング機能を活用した高度なシステム解析のために作られています。 HyperDbg の新リリースに関する通知を受け取るには、Twitter または Mastodon をフォローしてください。また、HyperDbg...

TiEtwAgent

TiEtwAgent - ETWベースのプロセスインジェクション検出 このプロジェクトは、様々なメモリインジェクション検出のユースケースとバイパス技術を研究、構築、テストするために作成されました。エージェントは、Microsoft-Windows-Threat-Intelligenceイベントトレーシングプロバイダーを利用しており、ユーザーランドフッキングに代わるより現代的で安定した代替手段として、カーネルモードによる可視性という利点があります。 このプロジェクトは、ETSのセットアップと消費のためにmicrosoft/krabsetwライブラリに依存しています。...

Microsoft Windows Cloud Files Mini Filter Driver CldiStreamCompleteRequest use-after-free vulnerability

Summary A use-after-free vulnerability exists in the CldiStreamCompleteRequest functionality of Windows Cloud Files Mini Filter Driver versions: 10.0.26100.8457 WinBuild.160101.0800. A specially crafted sequence of Cloud Filter API calls can lead to privilege escalation. An attacker can execute a...

wmi-static-spoofer

wmi-static-spoofer 动机： 最初的动机是绕过反作弊等侵入性软件使用的 HWID 检测方法，或软件中实施的许可限制。这个概念并不新鲜，但其他解决方案需要始终加载驱动程序，并需要一个可能不稳定的内核钩子。本项目仅使用直接内存操作，并使得在不挂钩函数或不始终保持加载内核模块的情况下伪造序列号成为可能。 描述： 在内核模式下伪造 HDD/磁盘驱动器的序列号，无需挂钩任何东西。更改序列号后，驱动程序可以被完全卸载。 这更像是一个 PoC，还有很多方面需要优化 它会生成一个固定长度的随机序列号，可在 main.h 文件中更改 该 spoofer 的偏移量也可以在上述 main.h...

Driver-kaldereta

Kaldereta 执行内存修改的未签名内核模式驱动程序 功能特性 获取进程 ID 获取映像的基地址 更改内存区域的保护属性 分配内存区域 释放内存 从地址读取/写入 从带偏移的地址读取/写入 从内存读取到缓冲区 从缓冲区写入到内存 模拟鼠标事件 模拟键盘事件 特征码扫描 手动映射 x64 安装配置 安装 Windows Driver Kit 使用 KDMapper 加载 .sys 文件 支持 如果您需要任何帮助，请通过 Discord 联系我们 想要捐赠？https://www.buymeacoffee.com/stephenasuncion 许可证...

FalconEye

FalconEye: Windowsプロセスインジェクション向けリアルタイム検出ソフトウェア FalconEyeは、Windowsエンドポイント向けのリアルタイムプロセスインジェクション検出ソフトウェアです。これはカーネルモードドライバであり、プロセスインジェクションをリアルタイムで捕捉することを目的としています。FalconEyeはカーネルモードで動作するため、ユーザーモードのフックを回避しようとするプロセスインジェクション技術に対して、より強力で信頼性の高い防御を提供します。 プレゼンテーションは2021 Blackhat ASIA Arsenalとスライドでご確認いただけます。...

EATGuard

EATGuard 导出地址表保护缓解措施的一种实现，类似于导出地址过滤（EAF） 工作原理 本项目由三个二进制文件组成，编译后可在 EATGuard\bin\ 中找到。它们是： 1. EATGuardApplication.exe - 一个“恶意”应用程序，它将 EATGuardDll.dll 加载到进程中，然后执行一些可执行代码（shellcode），这些代码会运行 notepad.exe。 2. EATGuardDll.dll - 提供用户态与内核态之间“桥梁”的 DLL。该 DLL 注册了一个向量化异常处理程序（VEH），用于将对 kernel32.dll...

Kernel-Process-Hollowing

Windows 内核模式进程镂空 该项目是一个概念验证，展示了进程镂空（Process Hollowing）技术在内核层面的工作原理。 资源 SSDT Hook Process Hollowing...

systeminformer

System Informer A free, powerful, multi-purpose tool that helps you monitor system resources, debug software and detect malware. Brought to you by Winsider Seminars & Solutions, Inc...

AV_Kernel_Vulns

AVKernelVulns 由我自己发现的杀毒软件内核漏洞的 PoC。...

DIRT

DIRT: ドライバ初期偵察ツール このツールは、C++の学習と、Windowsシステムにインストールされているドライバの初期評価（例：OEMや企業が開発したマスターイメージ）のために作成しています。ターゲットの選択、簡単に取れる脆弱性の発見、深掘りバイナリ分析の補助に役立つことを目的としています。現在不安定で、活発に開発中です。 主要機能 DeviceIoControlを介して非管理者ユーザーが操作可能なカーネルモードドライバの一覧表示。 これは、LPEに悪用される可能性のあるドライバを絞り込むのに役立ちます。 ドライバに関連付けられた会社名を取得し、所有権を特定。...

r0ak

r0ak r0ak は、Windows コマンドライン ユーティリティで、管理者特権以外は何も必要とせずに、コマンド プロンプトからカーネルモード コードの読み取り、書き込み、実行（一部制限あり）を簡単に行うことができます。 クイック プレビュー root@kitploit: r0ak v1.0.0 -- Ring 0 Army Knife http://www.github.com/ionescu007/r0ak Copyright c 2018 Alex Ionescu @aionescu http://www.windows-internals.com USAGE: r0ak.ex...

CVE-2024-21305

CVE-2024-21305 This repo contains the report and PoC of CVE-2024-21305, the non-secure Hypervisor-Protected Code Integrity HVCI configuration vulnerability. This vulnerability allowed arbitrary kernel-mode code execution, effectively bypassing HVCI, within the root partition. For the root cause,...

recon_2024_windbg_workshop

REcon 2024 - 使用 WinDbg 进行更好调试的技巧与诀窍 本仓库包含为 REcon 2024 上的研讨会“Tips & Tricks for better debugging with WinDbg”创建的材料。 环境搭建 该研讨会材料旨在为 WinDbg 在内核模式调试时提供有用的功能，但其概念同样可以很好地应用于用户模式调试。 要轻松搭建 KdNet 环境，可以： 创建一个 Windows 虚拟机，并使用 bcdedit /dbgsettings 进行设置 使用 WindowsSandbox root@kitploit:...