vsock_poc

vsockpoc CVE-2021-26708 뒤에 숨은 버그 조사 이 저장소는 CVE-2021-26708에 대한 간단한 분석과 이 버그를 Use After Free 쓰기 프리미티브로 전환하는 방법을 담고 있습니다. 여기 있는 PoC는 완전한 익스플로잇이 아니라, 제가 이 버그를 조사할 때 사용한 테스트 환경입니다. kmalloc-64 캐시에서 해제된 엔트리를 성공적으로 사용할 수 있지만, 메모리를 정리하고 슬롯에 흥미로운 무언가를 배치하는 코드는 없습니다. @a13xp0p0v가 보고한 재미있는 버그입니다. 패치가 너무 단순해서 ...

rootkit-detection-ebpf-time-trace

eBPF 시간 추적을 이용한 루트킷 탐지 이 저장소는 루트킷이 파일을 숨길 때 조작하는 커널 함수의 시간 측정값을 수집하는 코드와, 커널 함수 실행 시간의 변화를 분석하는 반지도 학습 기반 탐지 방법을 포함합니다. 이 구현은 오픈소스 루트킷 CARAXES에 의존하며, 이 루트킷은 filldir 함수를 래핑하여 ls 명령 실행 시 파일 열거 결과를 조작합니다. eBPF 프로브를 사용하여 getdents 시스템 콜 filldir 포함의 여러 함수에서 시간 측정값을 수집합니다. 탐지에는 통계적 검정에 기반한 간단한 머신러닝 모델을...

Dirty-Pipe-CVE-2022-0847-POCs

Dirty-Pipe-CVE-2022-0847-POCs 작성자: Max Kellermann [email protected] 기여자: Bl4sty https://twitter.com/bl4sty 'Dirty Pipe'로 알려진 새로운 Linux 취약점으로, 로컬 사용자가 공개된 익스플로잇을 통해 루트 권한을 획득할 수 있습니다. 오늘, 보안 연구원 Max Kellermann이 'Dirty Pipe' 취약점을 책임 있게 공개했으며, 이 취약점은 Android 기기를 포함한 Linux 커널 5.8 이상 버전에 영향을 미친다고...

CVE-2024-36424

CVE-2024-36424 이 취약점은 Secunnix Vulnerability Research Team 소속 M. Akil Gündoğan 이 발견하고 공개했습니다. 이 저장소는 개념 증명PoC 및 권고를 보관합니다. 세부 정보: 제품: K7 Ultimate Security 영향을 받는 버전: v17.0.2019 CVE ID: CVE-2024-36424 운영 체제: 지원되는 모든 Windows 버전, Windows 10 Pro에서 테스트됨 상태: 조정된 책임 있는 공개. 공개 날짜: 13.08.2024 취약점 설명: K7...

CVE-2019-0708

CVE-2019-0708 - BlueKeep RDP RDP 연결 시퀀스: https://docs.microsoft.com/en-us/openspecs/windowsprotocols/ms-rdpbcgr/023f1e69-cfe8-4ee6-9ee0-7e759fb4e4ee RDP 서비스 취약점 분석: https://www.zerodayinitiative.com/blog/2019/5/27/cve-2019-0708-a-comprehensive-analysis-of-a-remote-desktop-services-vulnerability 위...

iptable_evil

iptableevil iptableevil는 iptables를 위한 매우 특수한 백도어로, 악의 플래그evil bit가 설정된 모든 패킷을 방화벽 규칙에 관계없이 허용합니다. 첫 번째 구현은 iptableevil.c에 있으며, iptables에 테이블을 추가하고 커널 헤더를 수정하여 자리를 확보해야 합니다. 두 번째 구현은 iptables 코어 모듈과 그 종속 모듈을 수정한 버전으로, 모든 악의 패킷을 허용합니다. Linux 커널 버전 5.8.0-48에서 테스트했지만, iptables의 완전한 구현이 있는 거의 모든 커널 버전...

CVE-2023-0179-PoC

Needle CVE-2023-0179 취약점 공격 이 저장소는 최근에 발견된 nftables 서브시스템의 취약점에 대한 익스플로잇을 포함하고 있습니다. 이 취약점은 CVE-2023-0179로 할당되었으며, Linux 5.5부터 6.2-rc3까지의 모든 버전에 영향을 미칩니다. 익스플로잇은 6.1.6에서 테스트되었습니다. 취약점 세부 정보와 설명은 oss-security에서 확인할 수 있습니다. 빌드 방법 make needle 명령어를 실행하여 해당 실행 파일을 생성하면 됩니다. 빌드가 성공하려면 libmnl과 libnftnl이...

Umbra

Umbra Umbra는 커널 4.x 및 5.x5.7까지용 실험적인 원격 제어 가능 LKM 루트킷으로, 네트워크 백도어를 열어 원격 호스트로 리버스 셸을 실행하고, 원격으로 악성코드를 실행하는 등 다양한 기능을 제공합니다. 이 루트킷은 아직 개발 중이지만, 아래 나열된 기능들은 이미 완전히 작동합니다. 참고: 이 루트킷은 커널 5.4.0과 Ubuntu 18.04를 사용하여 개발 및 테스트되었습니다. Features 🌟 악성 TCP 패킷을 수신한 후 원격 IP로 리버스 셸을 실행하는 백도어. 🌟 Umbra Injector 를 사용...

auditd

/ | / // / / /| |/ / / / / / / / / / // / // / / // // / // |,/,///,/ Best Practice Auditd 구성 개요 이 auditd 구성의 목표는 다음과 같은 모범 사례 기준선을 제공하는 것입니다. 주요 Linux 배포판에서 기본적으로 로드되도록 설계 광범위한 보안 관련 호스트 활동을 포함 긴 하드코딩된 탐지 목록보다 재사용 가능한 텔레메트리를 선호 탐지 로직을 Sigma 규칙, SIEM 콘텐츠 또는 호스트 측 분석에 유지 섹션 구분과 주석을 통해 읽기 쉽고 적응하기...

lpe-toolkit

Linux LPE Toolkit 다중 아키텍처 권한 상승 도구 모음으로, 24개의 익스플로잇을 포함합니다 amd64는 사전 빌드, 다른 아키텍처는 런타임에 gcc로 컴파일. amd64, arm64, 386, mips, mipsle, mips64 및 mips64le을 지원합니다. 커널 버전을 감지하고, 패치된 익스플로잇을 필터링하며, 루트 권한을 얻을 때까지 순서대로 각 익스플로잇을 시도합니다. 빠른 시작 직접 실행 대상에 gcc가 필요하지 않으며, 사전 컴파일된 바이너리가 포함되어 있음 ./lpe-toolkit 드라이 런:...

bad-epoll

Bad Epoll: Mythosが見逃したバグ Google kernelCTF上で非特権プロセスがrootに昇格している様子。 Bad Epoll（CVE-2026-46242）は、Linuxカーネルの epoll サブシステムにおける競合状態のuse-after-free脆弱性です。このバグにより、非特権プロセスがルート権限を取得でき、Linuxデスクトップやサーバーだけでなく、Androidデバイスでも影響を受けます。 Bad Epollは、Jaeyoung Chung によってGoogle kernelCTF...

CVE-2022-32250-exploit

CVE-2022-32250-Linux-Kernel-LPE 데모 비디오 https://www.youtube.com/watch?v=YqmwA6fPjKE 소개 CVE-2022-32250은 잘못된 NFTSTATEFULEXPR 검사로 인해 use-after-free가 발생하여 로컬 사용자가 root로 권한 상승할 수 있습니다. 참고 리눅스 Kerenel 익스플로잇 CVE-2022-32250 with mqueue 영향을 받는 버전 리눅스, 커밋 520778042ccca019f3ffa136dd0ca565c486cedd 이전 2022년 5월...

gobee

gobee BPF 프로그램을 C가 아닌 Go로 작성하세요. gobee는 Go의 엄격한 부분 집합을 BPF C로 트랜스파일하고, 사용자 공간 측을 위한 타입이 있는 Go 바인딩을 생성하며, 실행 중인 커널에 대해 로드를 게이트합니다. Go 생태계는 BPF를 위한 견고한 사용자 공간 도구를 갖추고 있습니다. 커널 측은 항상 "이제 C로 프로그램을 작성하세요"로 끝났습니다. Aya는 rustc에 새로운 BPF 백엔드를 작성하여 Rust로 eBPF를 가져왔습니다. gobee는 다른 방식으로 접근합니다: C로 트랜스파일하여 clang의...

CVE-2018-4407

CVE-2018-4407 CVE-2018-4407은 XNU 커널의 ICMP 오류 처리 코드에 존재하는 버퍼 오버플로 취약점입니다. 이 취약점으로 인해 IOS 기기노트북과 모바일 모두는 단 하나네, 정말 1개!의 잘못된 패킷을 수신하면 충돌합니다. 이 버그는 2018년 10월 30일에 Kevin Backhouse가 자신의 lgtm 블로그 게시글을 통해 최초로 공개했습니다. 이 저장소의 코드는 scapy와 nmap을 사용하여 python으로 구현된 CVE-2018-4407 악용의 개념 증명PoC입니다. 디버깅 제 디버깅 과정의 일...

mquire

mquire mquire는 memory와 inquire 단어를 합친 것으로, osquery에서 영감을 받은 메모리 쿼리 도구입니다. 주요 장점: 외부 디버그 심볼 필요 없음 mquire는 외부 디버그 심볼 없이 Linux 커널 메모리 스냅샷을 분석할 수 있습니다. 분석에 필요한 모든 것은 메모리 덤프 자체에 이미 포함되어 있습니다. 즉, 다음을 분석할 수 있습니다: 이전에 본 적 없는 알 수 없거나 사용자 정의 커널 준비 없이 모든 Linux 배포판 외부 디버그 심볼을 사용할 수 없거나 분실된 메모리 스냅샷 요구 사항 커널 버...

HugeDirtyCowPOC

"Huge Dirty Cow" POC Huge Dirty Cow 취약점CVE-2017-1000405에 대한 POC입니다. 자세한 내용은 여기에서 확인할 수 있습니다. 실행 전에 transparent huge pages를 "always"로 설정해야 합니다: echo always | sudo tee /sys/kernel/mm/transparenthugepage/enabled...

CVE-2019-8781-macOS

CVE-2019-8781 보안 권고 CVE-2019-8781 POC 세부사항 POC는 프로세스를 루트로 승격시키고 셸을 실행합니다. 익스플로잇 환경 - macOS 10.14.6 18G95 10.15.0 이전에 출시된 모든 macOS 버전에서 작동해야 함 - SMEP: On - SMAP: Off - 커널 ASLR 슬라이드가 argv1로 전달됨 빌드 컴파일하려면 Xcode 9.4.1 명령줄 도구가 필요합니다. Makefile을 확인하세요. 분석글 제 블로그를 확인하세요. 여기가 링크입니다. 감사 인사 0day를 위해 Apple에게...

kasld

KASLDは、ローカルプロセスからLinuxカーネルの仮想メモリおよび物理メモリのレイアウト — 主にカーネルテキストベース — を復元します。何を復元できるかは、そのプロセスの視点（vantage）の関数です。すなわち、そのプロセスの権限とケイパビリティ、システムの設定、およびコンテナによる隔離です。リークやサイドチャネルが許す場合にはベースを直接復元し、そうでない場合には、利用可能な証拠が支持する最小の配置候補集合に絞り込みます。 推論エンジンは、数十の独立した手法からの証拠をアーキテクチャの既知の不変条件と融合し、カーネルの配置を残差ウィンドウに絞り込みます。これは、生き残った...

used_sock

usedsock iOS 12-12.2および12.4向けのカーネルエクスプロイト。これはジェイルブレイクでの使用を意図していません。 解説はこちらをご覧ください。...

CVE-2025-21333-POC

CVE-2025-21333-POC vkrnlintvsp.sys의 CVE-2025-21333을 악용하는 개념 증명PoC입니다 요구 사항 및 제한 사항 섹션 참조, 신뢰성 낮음. 참조 섹션에는 이 익스플로잇을 다루고자 하는 사람들에게 매우 유용한 자료가 있습니다. 취약점 및 익스플로잇에 대한 상세 분석은 여기에서 확인할 수 있습니다. 이 취약점은 위협 행위자에 의해 활발히 악용되고 있는 것으로 탐지되었습니다. Windows 11 23h2 에서 테스트되었습니다. Windows 11 24h2 에서도 작동할 수 있지만 테스트하지는...