backdoors

백도어 시스템에 대한 지속적인 접근 권한 유지와 개념 증명PoC 시연을 위해 Hacker House 팀이 작성한 도구들입니다. 이 도구들은 커널 모드 후킹, 명령 및 제어C2 구현과 같은 일반적인 지속성persistence 기법을 시뮬레이션하거나 시연하기 위해 설계되었습니다. File| Description ---|--- bindshell.go| GoLang으로 작성된 바인드 셸 예제 bindshell.py| Python으로 작성된 바인드 셸 예제 cmdbot.py| IRC C2를 통해 명령을 실행하는 Python 봇...

CVE-2014-3153

CVE-2014-3153 ubuntu 14.04 64-bit 3.13.0-24-generic...

CVE-2024-38041

CVE-2024-38041 커널 포인터가 appid.sys 드라이버의 ioctl 0x22A014를 통해 출력 사용자 모드 버퍼에 복사됩니다...

cve-2019-2215

CVE-2019-2215 CVE-2019-2215를 통한 Pixel 2 및 Pixel 2 XL용 Temproot Google Project Zero의 Jann Horn 및 Maddie Stone의 개념 증명 기반 개요 커널 메모리 읽기/쓰기 전용 권한 상승 공격을 시연하여 임시 루트 셸을 얻습니다. 이 도구는 2019년 9월 QP1A.190711.020 이미지와 커널 버전-BuildID 4.4.177-g83bee1dc48e8을 실행하는 Google Pixel 2/Pixel 2 XL walleye/taimen 기기에서 작동합니다...

CVE-2019-18885

CVE-2019-18885 CVE-2019-18885 bobfuzzer 팀원 정보 개요 대상 재현 버그 원인 디버거 뷰 KASAN 로그 감사의 말 bobfuzzer BoB일명 Best of the Best, 대한민국에 위치한 프로젝트 팀. [email protected] 리눅스 커널 파일시스템 모듈의 버그를 발견합니다. 팀원 프로젝트 멤버 : 김동희Kieast, 조형진zkaryaJo, 홍승표Ph4nt0m, 남지효NJhyo, 정원영nonetype 프로젝트 리더 : 조성준DelspoN 프로젝트 멘토 : 이상섭k1rh4,...

copy-fail-CVE-2026-31431-detection-probe

LinuxカーネルLPEプローブスイート — Copy Fail & Dirty Frag 関連するLinuxカーネルのローカル権限昇格（LPE）脆弱性ファミリー — Copy Fail （CVE-2026-31431）と Dirty Frag （CVE-2026-43284 / CVE-2026-43500）— に対する安全な検出ツールです。いずれも2017年以降、主要なすべてのディストリビューションに影響し、権限のないローカルユーザーであれば誰でも悪用可能で、かつ個別の 緩和策が必要です。 これらのプローブはソケットを開かず、暗号化操作やネットワーク操作も行いません。...

pcileech

PCILeech Summary: PCILeech uses PCIe hardware devices to read and write target system memory. This is achieved by using DMA over PCIe. No drivers are needed on the target system. PCILeech also works without hardware together with a wide range of software memory acqusition methods supported by the...

pcileech

PCILeech 요약: PCILeech는 PCIe 하드웨어 장치를 사용하여 대상 시스템 메모리를 읽고 씁니다. 이는 PCIe를 통한 DMA를 사용하여 달성됩니다. 대상 시스템에는 드라이버가 필요하지 않습니다. PCILeech는 또한 하드웨어 없이도 LeechCore 라이브러리에서 지원하는 다양한 소프트웨어 메모리 획득 방법과 함께 작동합니다 - DumpIt 또는 WinPmem을 사용한 원격 라이브 메모리 캡처를 포함합니다. PCILeech는 또한 로컬 메모리 캡처와 여러 메모리 덤프 파일 형식을 지원합니다. PCILeech는 ...

CVE-2026-64531

CVE-2026-64531 — OVSwrap Linux 커널 Open vSwitch 모듈 로컬 권한 상승일반 사용자 → root PoC입니다. 16비트 nlalen 필드의 정수 래핑을 이용해 일반 사용자 에서 root 까지 권한을 상승시킵니다. 취약점 개요 OVS가 생성한 중첩 action 스트림이 65535바이트를 초과하면 16비트 nlalen 필드가 래핑됩니다. 공격자는 개인 사용자/네트워크 네임스페이스 안에서 CAPNETADMIN만 보유하고 있어도 매우 긴 CLONE action을 구성할 수 있으며, 커널 파서가 공격자가...

VectorKernel

VectorKernel 커널모드 루트킷 기술 연구 또는 교육을 위한 PoCs. 현재 Windows OS에 초점을 맞추고 있습니다. 모든 모듈은 x64 계열 64비트 OS만 지원합니다. 환경 모든 모듈은 Windows 11 x64에서 테스트되었습니다. 드라이버를 테스트하려면 테스트 머신에서 다음 옵션을 사용할 수 있습니다. 1. 테스트 서명 드라이버 로드 활성화 2. 커널 모드 디버깅 설정 각 옵션은 Secure Boot를 비활성화해야 합니다. 모듈 자세한 정보는 각 프로젝트 디렉터리의 README.md에 제공됩니다. 모든 모듈...

overlayFS-CVE-2021-3493

overlayFS CVE-2021-3493 OverlayFs OverlayFS는 Linux 커널 모듈로, 시스템이 여러 마운트 지점을 하나로 결합하여 각각의 모든 파일을 디렉토리 구조 내에서 액세스할 수 있게 합니다. 취약점에 대하여 최근 SSD-Disclosure가 Ubuntu 커널 익스플로잇에 대한 PoC를 발표했습니다. 링크. 이 취약점은 OverlayFS가 Ubuntu1804 Server에 기본적으로 설치되어 있었기 때문에 매우 심각했습니다. 해당 시스템이 취약한 경우, 쉽게 root 사용자로 권한 상승할 수 있습니다...

CVE-2023-0179-PoC

Needle CVE-2023-0179 익스플로잇 이 저장소는 nftables 서브시스템에서 최근 발견된 취약점CVE-2023-0179로 할당됨에 대한 익스플로잇을 포함하고 있습니다. 이 취약점은 Linux 5.5부터 6.2-rc3까지의 모든 버전에 영향을 미치며, 익스플로잇은 6.1.6에서 테스트되었습니다. 취약점 세부 사항과 분석은 oss-security에서 확인할 수 있습니다. 빌드 방법 해당 실행 파일을 생성하려면 make needle 명령어를 실행하기만 하면 됩니다. libmnl 및 libnftnl이 빌드에 필요합니다:...

dirty-pipe-poc

Dirty Pipe POC CVE-2022-0847 POC - https://dirtypipe.cm4all.com/ 설명 이 익스플로잇은 CVE-2022-0847 취약점을 사용하여 읽기 전용 파일을 덮어쓰려고 시도합니다. make exploit을 실행하면 다음을 수행합니다: 1. readonlyfile.txt를 생성합니다. 2. dirtypipe 익스플로잇을 실행합니다. 3. dirtypipe 익스플로잇이 작동했는지 확인합니다. make exploit의 출력을 통해 시스템이 취약한지 확인할 수 있습니다: foo@bar:$ ma...

sigwire

sigwire 시그널을 위한tail -f. 시스템의 모든 프로세스가 발생시키는 모든 시그널 — 누가 보냈는지, 누가 받았는지, 어떤 시그널인지, 어떻게 발생되었는지kill2, 커널, POSIX 타이머, 대상이 시그널을 잡았는지caught와 핸들러가 얼마나 실행되었는지, 블록된 시스템 콜을 EINTR로 중단시켰는지 — 커널의 시그널 트레이스포인트에서 디코딩하여 터미널에 실시간으로 스트리밍합니다. 하나의 pid에 대한 strace -f도, ptrace도, 관련 프로세스의 협력도 필요 없습니다. sigwire는 커널의 시그널 메커니...

ved-ebpf

VED-eBPF: Kernel Exploit and Rootkit Detection using eBPF VED Vault Exploit Defense-eBPF leverages eBPF extended Berkeley Packet Filter to implement runtime kernel security monitoring and exploit detection for Linux systems. Introduction eBPF is an in-kernel virtual machine that allows code...

ved-ebpf

VED-eBPF: eBPF를 사용한 커널 익스플로잇 및 루트킷 탐지 VED Vault Exploit Defense-eBPF는 eBPFextended Berkeley Packet Filter를 활용하여 Linux 시스템을 위한 런타임 커널 보안 모니터링 및 익스플로잇 탐지를 구현합니다. 소개 eBPF는 커널 소스 자체를 수정하지 않고도 커널 내에서 코드 실행을 허용하는 인커널 가상 머신입니다. eBPF 프로그램은 tracepoints, kprobes 및 기타 커널 이벤트에 연결되어 실행을 효율적으로 분석하고 데이터를 수집할 수...

vmlinux-to-elf

vmlinux-to-elf 이 도구는 vmlinux/vmlinuz/bzImage/zImage 커널 이미지원시 바이너리 블롭 또는 이미 존재하지만 심볼이 제거된 .ELF 파일에서 함수 및 변수 심볼을 복구하여 완전히 분석 가능한 .ELF 파일을 얻을 수 있게 해 줍니다. 이를 위해 이 도구는 커널에서 커널 심볼 테이블kallsyms을 스캔합니다. kallsyms는 거의 모든 커널에 대부분 변경되지 않은 채로 존재하는 압축된 심볼 테이블입니다. 해당 심볼 테이블은 원래 압축되어 있기 때문에 원본 바이너리에는 보이지 않는 문자열도...

Singularity

Singularity - 은밀한 리눅스 커널 루트킷 "포렌식에 약간의 일을 줘볼까?" 이 프로젝트는 저에게 아주 특별한 여성인 Mocinha에 의해 영감을 받았습니다 Singularity 는 현대 6.x 커널을 위해 설계된 강력한 Linux Kernel Module LKM 루트킷입니다. ftrace 인프라를 통한 고급 시스템 콜 후킹으로 포괄적인 은밀성 기능을 제공합니다. 전체 연구 기사 구버전 : Singularity: A Final Boss Linux Kernel Rootkit EDR 우회 사례 연구 : Bypassing...

CVE-2023-2598

CVE-2023-2598 iouring이란 무엇인가? iouring은 리눅스를 위한 시스템 콜 인터페이스입니다. 처음에는 read와 write만 지원했지만, 현재는 거의 모든 시스템 콜을 지원합니다. 이를 통해 애플리케이션은 비동기적으로 수행될 수 있는 시스템 콜을 시작할 수 있습니다. 제출 및 완료 큐 모든 iouring 구현의 핵심에는 두 개의 링 버퍼가 있습니다. 제출 큐SQ와 완료 큐CQ입니다. 이 링 버퍼들은 애플리케이션과 커널 사이에서 공유됩니다. iouringgetsqe를 통해 수행하려는 syscall을 설명하는 ...

xnu

XNU는 무엇인가? XNU 커널은 macOS 및 iOS 운영 체제에서 사용되는 Darwin 운영 체제의 일부입니다. XNU는 X is Not Unix의 약어입니다. XNU는 Carnegie Mellon University에서 개발된 Mach 커널과 FreeBSD의 구성 요소, 그리고 IOKit이라고 하는 드라이버 작성을 위한 C++ API를 결합한 하이브리드 커널입니다. XNU는 단일 프로세서 및 다중 프로세서 구성 모두에 대해 x8664 및 ARM64에서 실행됩니다. XNU 소스 트리 config - 지원 아키텍처 및 플랫폼...