Microsoft Windows Cloud Files Mini Filter Driver CldiStreamCompleteRequest use-after-free vulnerability

Summary A use-after-free vulnerability exists in the CldiStreamCompleteRequest functionality of Windows Cloud Files Mini Filter Driver versions: 10.0.26100.8457 WinBuild.160101.0800. A specially crafted sequence of Cloud Filter API calls can lead to privilege escalation. An attacker can execute a...

systeminformer

System Informer A free, powerful, multi-purpose tool that helps you monitor system resources, debug software and detect malware. Brought to you by Winsider Seminars & Solutions, Inc...

CVE-2025-61155

CVE-2025-61155 — GameDriverX64.sys의 임의 프로세스 종료 Tower of FantasyHotta Studio / Perfect World에 포함되어 배포되는 서명된 커널 모드 안티치트 드라이버 GameDriverX64.sys는 권한이 없는 일반 로컬 사용자 가 PPL로 보호된 안티바이러스/EDR 서비스를 포함한 임의의 프로세스를 종료 할 수 있게 한다. 이는 랜섬웨어 운영자들이 찾는 유형의 프리미티브이며, 실제 환경에서 Interlock 작전에 의해 BYOVD EDR-killer로 적극적으로 악용되고...

aegis

Aegis 커널 모드 프로세스 보호 드라이버로, ObRegisterCallbacks를 사용하여 핸들에서 메모리 접근 권한을 제거합니다. 핸들 생성에 후킹하여 PROCESSVMREAD/WRITE/OPERATION을 무단 접근 시도에서 제거하는 기본적인 구현입니다. 참고: GIF가 애니메이션되지 않으면 Imgur에서 직접 보기 개요 드라이버는 고도 321123에서 OB 콜백을 등록하고 OBOPERATIONHANDLECREATE 및 OBOPERATIONHANDLEDUPLICATE 작업을 가로챕니다. 프로세스가 보호 대상에 대한 핸들...

NtWarden

NtWARden Windows 분석 및 연구 툴킷 ImGui + DirectX 11 기반의 Windows 시스템 검사 도구. 프로세스, 서비스, 네트워크, 커널 내부 등을 다룹니다 - 로컬 또는 WinSysServer를 통한 네트워크로 사용 가능합니다. ⚠️ 이 프로젝트의 일부는 AI 지원으로 바이브 코딩되었기 때문에 버그가 있을 수 있습니다. 커널 드라이버KWinSys는 연구 목적으로만 테스트 VM에 설치해야 합니다. 스크린샷 프로세스 커널 모드 프로세스 사용자 모드| ETW 세션| 커널 콜백 ---|---|--- 커널 풀|...

backdoors

백도어 시스템에 대한 지속적인 접근 권한 유지와 개념 증명PoC 시연을 위해 Hacker House 팀이 작성한 도구들입니다. 이 도구들은 커널 모드 후킹, 명령 및 제어C2 구현과 같은 일반적인 지속성persistence 기법을 시뮬레이션하거나 시연하기 위해 설계되었습니다. File| Description ---|--- bindshell.go| GoLang으로 작성된 바인드 셸 예제 bindshell.py| Python으로 작성된 바인드 셸 예제 cmdbot.py| IRC C2를 통해 명령을 실행하는 Python 봇...

CVE-2024-21305

CVE-2024-21305 이 저장소에는 CVE-2024-21305의 보고서와 PoC가 포함되어 있으며, 이는 비보안 하이퍼바이저 보호 코드 무결성HVCI 구성 취약점입니다. 이 취약점으로 인해 루트 파티션 내에서 임의의 커널 모드 코드가 실행될 수 있어 사실상 HVCI를 우회할 수 있었습니다. 근본 원인에 대해서는 이 문제를 분석하고 수정한 Windows Core OS 엔지니어인 Andrea Allievi@aall86와 공동 작성한 블로그 게시물을 읽어보세요. 이 저장소의 보고서는 제가 MSRC에 보낸 내용으로, PoC와 문...

HyperDbg

HyperDbg 디버거 HyperDbg 디버거 는 Windows 용 오픈소스 하이퍼바이저 지원 디버거이며Linux 지원은 현재 개발 중!, 사용자 모드와 커널 모드네이티브 디버깅을 모두 지원합니다. 최신 하드웨어 가상화 및 추적 기능을 사용하여 리버스 엔지니어링, 퍼징, 고급 시스템 분석을 위해 설계되었습니다. HyperDbg 의 새 릴리스 소식을 받아보려면 Twitter 또는 Mastodon 에서 팔로우하거나, HyperDbg 그룹에 참여하여 개발자와 오픈소스 리버스 엔지니어링 애호가에게 HyperDbg 설정 및 사용에 대한...

CVE-2016-7255

CVE-2016-7255 Microsoft Windows Vista SP2, Windows Server 2008 SP2 및 R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold 및 R2, Windows RT 8.1, Windows 10 Gold, 1511 및 1607, Windows Server 2016의 커널 모드 드라이버는 제작된 응용 프로그램을 통해 로컬 사용자가 권한을 상승할 수 있도록 허용합니다. 일명 "Win32k 권한 상승 취약점"입니다. 리비아에서 온 성인...

VectorKernel

VectorKernel 커널모드 루트킷 기술 연구 또는 교육을 위한 PoCs. 현재 Windows OS에 초점을 맞추고 있습니다. 모든 모듈은 x64 계열 64비트 OS만 지원합니다. 환경 모든 모듈은 Windows 11 x64에서 테스트되었습니다. 드라이버를 테스트하려면 테스트 머신에서 다음 옵션을 사용할 수 있습니다. 1. 테스트 서명 드라이버 로드 활성화 2. 커널 모드 디버깅 설정 각 옵션은 Secure Boot를 비활성화해야 합니다. 모듈 자세한 정보는 각 프로젝트 디렉터리의 README.md에 제공됩니다. 모든 모듈...

FalconEye

FalconEye: 윈도우 프로세스 인젝션 실시간 탐지 소프트웨어 FalconEye는 실시간 프로세스 인젝션을 위한 윈도우 엔드포인트 탐지 소프트웨어입니다. 커널 모드 드라이버로서, 프로세스 인젝션이 발생하는 즉시실시간으로 탐지하는 것을 목표로 합니다. FalconEye는 커널 모드에서 실행되므로, 다양한 사용자 모드 후크를 회피하려는 프로세스 인젝션 기술에 대해 더 강력하고 신뢰할 수 있는 방어를 제공합니다. 발표 자료는 2021 Blackhat ASIA Arsenal과 슬라이드에서 확인할 수 있습니다. 프로젝트 개요 탐지 ...

TiEtwAgent

TiEtwAgent - ETW 기반 프로세스 인젝션 탐지 이 프로젝트는 다양한 메모리 인젝션 탐지 사용 사례와 우회 기법을 연구, 구축 및 테스트하기 위해 만들어졌습니다. 에이전트는 Microsoft-Windows-Threat-Intelligence 이벤트 추적 공급자를 사용하며, Userland 후킹보다 더 현대적이고 안정적인 대안으로, 커널 모드 가시성의 이점을 제공합니다. 프로젝트는 ETS 설정 및 소비를 위해 microsoft/krabsetw 라이브러리에 의존합니다. 관련 블로그 게시물은 여기에서 확인할 수 있습니다:...

DIRT

DIRT: 드라이버 초기 정찰 도구 저는 이 도구를 C++ 학습과 Windows 시스템에 설치된 드라이버예: OEM 또는 기업에서 개발한 마스터 이미지에 대한 초기 평가를 위해 작성하고 있습니다. 이 도구는 대상 선택, 쉬운 표적 찾기, 심층 바이너리 분석 지원에 도움을 주기 위한 것입니다. 현재 불안정하며, 활발히 개발 중입니다. 주요 기능 DeviceIoControl을 통해 비관리자 사용자가 상호작용할 수 있는 커널 모드 드라이버 목록화 이는 잠재적으로 LPE에 사용될 수 있는 드라이버를 좁히는 데 유용할 수 있습니다...

Driver-kaldereta

Kaldereta メモリ変更を行う未署名のカーネルモードドライバ 機能 プロセスIDの取得 イメージのベースアドレスの取得 メモリ領域の保護属性の変更 メモリ領域の確保 メモリの解放 アドレスからの読み取り/書き込み オフセット付きアドレスからの読み取り/書き込み メモリからバッファへの読み取り バッファからメモリへの書き込み マウスイベントのシミュレート キーボードイベントのシミュレート パターンスキャン 手動マップ x64 セットアップ Windows Driver Kitをインストール KDMapperで.sysファイルをロード サポート...

r0ak

r0ak r0ak는 Windows 명령줄 유틸리티로, 관리자 권한 외에는 다른 것이 필요 없이 명령 프롬프트에서 커널 모드 코드를 쉽게 읽고, 쓰고, 실행할 수 있게 해줍니다일부 제한 사항 있음. Quick Peek root@kitploit: r0ak v1.0.0 -- Ring 0 Army Knife http://www.github.com/ionescu007/r0ak Copyright c 2018 Alex Ionescu @aionescu http://www.windows-internals.com USAGE: r0ak.exe...

EATGuard

EATGuard Export Address Filtering EAF のような、エクスポートアドレステーブル保護の緩和策の実装です。 仕組み このプロジェクトは3つのバイナリで構成されており、コンパイルすると EATGuard\bin\ にあります。それらは以下のとおりです: 1. EATGuardApplication.exe - プロセスに EATGuardDll.dll を読み込み、その後 notepad.exe を実行する実行可能コード（シェルコード）を実行する「悪意のある」アプリケーションです。 2. EATGuardDll.dll -...

Kernel-Process-Hollowing

Windows 커널 모드 프로세스 할로잉 이 프로젝트는 프로세스 할로잉Process Hollowing 기법이 커널 수준에서 어떻게 작동하는지에 대한 개념 증명PoC입니다. 참고 자료 SSDT Hook Process Hollowing...

wmi-static-spoofer

wmi-static-spoofer 동기: 초기 동기는 안티치트와 같은 침습적 소프트웨어나 소프트웨어에 구현된 라이선스 제한에 사용되는 HWID 탐지 방법을 우회하는 것입니다. 개념은 새로운 것이 아니지만 다른 솔루션은 항상 로드된 드라이버와 커널 후크가 필요하며 불안정할 수 있습니다. 이 프로젝트는 직접 메모리 조작만 사용하며, 함수를 후킹하거나 항상 로드된 커널 모듈 없이도 시리얼을 위조할 수 있게 합니다. 설명: 아무것도 후킹하지 않고 커널 모드에서 HDD/디스크 드라이브의 시리얼번호를 위조합니다. 드라이버는 시리얼번호를...

AV_Kernel_Vulns

AVKernelVulns 본인이 발견한 안티바이러스 소프트웨어의 커널 취약점에 대한 PoC입니다...

recon_2024_windbg_workshop

REcon 2024 - 더 나은 WinDbg 디버깅을 위한 팁 & 트릭 이 저장소는 REcon 2024에서 진행된 워크숍 "더 나은 WinDbg 디버깅을 위한 팁 & 트릭"을 위해 제작된 자료를 포함하고 있습니다. 설정 이 워크숍 자료는 커널 모드에서 디버깅할 때 유용한 WinDbg 기능을 제공하는 것을 목표로 하며, 그 개념은 사용자 모드 디버깅에도 충분히 적용될 수 있습니다. KdNet 환경을 쉽게 설정하려면 다음을 수행할 수 있습니다: Windows VM을 만들고 bcdedit /dbgsettings를 사용하여 설정합니다...