Phantom-Evasion-Loader

SROP辅助的跨内存附加（CMA）注入——直接系统调用方式。 👻 Phantom-Evasion-Loader（x64 Linux） Phantom-Evasion-Loader 是一个独立的、纯 x64 汇编注入引擎，旨在最小化现代 EDR/XDR 解决方案以及内核级监控（如 Falco eBPF）的检测面。它利用 SROP 和零拷贝注入等先进技术，将载荷作为机器中的幽灵进行投递。 🧠 这段代码到底做了什么？ 与传统的、嘈杂的注入器不同，此引擎专为隐蔽性而设计。它不会对内核大喊“我是恶意软件”。相反，它模仿合法的系统调试行为，执行手术式内存操作，使其不被行为分析所察觉。 🛠️ 关键技术特...

CrystalSliver

crystal-kit-sliver Crystal Palace 规避工具包移植到 Sliver C2。 这是 rasta-mouse 的 Crystal-Kit（Cobalt Strike）首次公开移植到 Sliver。它遵循了 Crystal-Kit-Xenon（Mythic）所验证的跨 C2 模式。 许可证: MIT — 版权所有 c 2026 Simone Licitra 目标平台: 仅 Windows x64（上游限制） 状态: 端到端验证 — Kali 构建流水线 + Windows 10 x64 FLARE-VM 运行时已通过。Sliver 会话已建立。 功能简介 用...

spring-shell-vuln

spring-shell-vuln Spring4Shell：Spring核心RCE漏洞 Spring已确认Spring框架中的RCE。团队刚刚发布了声明以及该问题的缓解指南。现在，此漏洞可被追踪为CVE-2022-22965。 一些关于Spring4Shell漏洞的信息已分享在Spring4Shell：详细信息与利用帖中。此外，Praetorian的安全团队已确认，在JDK9+上Spring Core存在远程代码执行漏洞，原因是绕过了CVE-2010-1622。 最初，该漏洞于3月30日被披露，KnownSec 404团队负责人Heige首次暗示了这一漏洞。他发推文警告“Spring...

Yara-Rules

Reglas de Yara para: Aurora Stealer Bandit Stealer Ducktail Meduza Stealer MetaStealer Nitrogen PSWSTEALER RaccoonStealerv2 SolarMarker Vidar Stealer WhiteSnake Stealer SwaetRAT DanaBot FakeBat Ande Loader WorkersDevBackdoor Pure Logs Stealer PikaBot JinxLoader GaryStealer Illyrian Stealer...

KaynStrike

KaynStrike Un cargador reflectante definido por el usuario para Cobalt Strike Beacon que falsifica la dirección de inicio del hilo y se libera a sí mismo una vez que se ha ejecutado el punto de entrada. Suplantación de la dirección de inicio del hilo Limpieza del cargador reflectante Prueba Cómo...

Java-Shellcode-Loader

Java ShellCode Loader Cargador de ShellCode implementado en Java, compatible con plataformas de 32 y 64 bits. El principio central es utilizar Jna para llamar a las API de Windows y lograr la inyección de shellcode. Entorno de ejecución: Jre = 1.5 Nota: este proyecto ya está integrado en el módul...

eden

Eden Eden loader es un PoC UDRL para Cobalt Strike construido con Crystal Palace que combina la técnica de page streaming de Raphael Mudge con una puerta de llamada modular actualmente una versión PIC del BOF de llamada Draugr de Sleepmask-VS. El objetivo de Eden loader es: Demostrar el poder de...

CVE-2023-4911

CVE-2023-4911 Esta es una prueba de concepto PoC para CVE-2023-4911 «Looney Tunables» que explota un error en la función parsetunables del cargador dinámico de glibc que analiza la variable de entorno GLIBCTUNABLES. Se trata de una reescritura de las PoC en C a un enfoque Python puro. Lo hice par...

pe-sieve

Intro PE-sieve is a tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory patches...

BokuLoader

BokuLoader: Cobalt Strike Reflective Loader Una prueba de concepto de User-Defined Reflective Loader UDRL que tiene como objetivo recrear, integrar y mejorar las funciones de evasión de Cobalt Strike. Contribuidores:...

Cooolis-ms

Cooolis-ms Cooolis-ms 是一个支持Metasploit Framework RPC的一个服务端，用于给Shellcode和PE加载器工作，在一定程度上绕过反病毒软件的静态查杀，同时可以让Cooolis-ms服务端与Metasploit服务器进行分离。 加载器执行流程： 1. 连接Cooolis-Server 2. Cooolis-Server连接Metasploit RPC服务端 3. 取回Payload然后发送回加载器 核心技术： 静态恶意代码逃逸（第六课） 该项目的优点 体积小（600KB） 支持Metasploit所有Payload 参数设置简单 单文件 架构分...

WordPress Contact Form by Supsystic - Server-Side Template Injection

Contact Form by Supsystic WordPress plugin = 1.7.36 contains a server-side template injection caused by unsandboxed TwigLoaderString and cfsPreFill functionality, letting unauthenticated attackers execute arbitrary code remotely via GET parameters. id: CVE-2026-4257 info: name: WordPress Contact...

Dockwatch <= 0.6.567 - OS Command Injection

Dockwatch through 0.6.567 contains an unauthenticated command injection caused by missing exit after authentication redirect in loader.php and unsanitized input in ajax/compose.php, letting remote attackers execute arbitrary shell commands, exploit requires seeding a session flag via incomplete...

libpeconv

libPeConv Una biblioteca para cargar y manipular archivos PE. Objetivos El objetivo de libPEConv era crear una "navaja suiza" para la carga personalizada de archivos PE. Reúne varias funciones auxiliares que puedes integrar rápidamente en tu propio loader. Por ejemplo: reasignar secciones, aplica...

shim

shim, un cargador de arranque UEFI de primera etapa shim es una aplicación EFI trivial que, al ejecutarse, intenta abrir y ejecutar otra aplicación. Inicialmente intentará hacerlo mediante las llamadas estándar de EFI LoadImage y StartImage. Si estas fallan porque Secure Boot está habilitado y el...

CVE-2025-27407

CVE-2025-27407 GitLab Podman 实验室 用于验证 GitLab Direct Transfer HTTP 路径可达脆弱 graphql-ruby 内省模式加载器的最小本地实验室。该实验室运行一个易受攻击的 GitLab CE 容器；PoC 脚本仅在测试时在进程中启动其伪造的 GitLab 源服务器。 仅对您拥有或明确授权测试的系统运行此操作。 文件 文件| 目的 ---|--- lab.sh| 启动、等待、验证并清理 GitLab 实验室。 pochostportcmd.py| 一次性 PoC：伪造源服务器 + GitLab 登录/配置/导入触发器。 要求 带有...

Huan

Huan Huan 是我为了学习 PE 文件结构和 PE 加载过程而开发的一款加密 PE 加载器生成器。它每次使用不同的密钥对要运行的 PE 文件进行加密，并将其嵌入加载器二进制文件的新节中。目前，它适用于 64 位 PE 文件。 工作原理？ 首先，Huan 读取给定的 PE 文件，并使用 CBC 模式 AES-128 加密算法对其进行加密。加密方面，我使用了 Tiny AES in C，并为该库的需求准备了填充代码。加密完成后，它使用 Visual Studio 编译器（MsBuild.exe）编译加载器，生成可执行文件。之后，它在该可执行文件上创建一个节（名为...

laZzzy

laZzzy laZzzy 是一个 shellcode 加载器，演示了恶意软件常用的多种执行技术。laZzzy 使用了不同的开源仅头文件库开发而成。 功能特点 直接系统调用和原生（Nt）函数（并非全部，但大部分） 导入地址表（IAT）规避 加密载荷（XOR 和 AES） 随机生成的密钥 使用时自动用 NOP（\x90）填充（必要时） 内存中逐字节解密载荷 XOR 加密的字符串 PPID 欺骗 阻止非微软签名的 DLL 加载 （可选）克隆 PE 图标和属性 （可选）使用伪造证书进行代码签名 使用方法 环境要求： 安装了 Visual Studio 及其以下组件的 Windows 机器（可从...

CoffeeLdr

CoffeeLdr CoffeeLdr es un cargador para los llamados Beacon Object Files. Este proyecto se puede utilizar para probar Beacon Object Files sin usar el framework Cobalt Strike o para dar a los implants personalizados una forma de ejecutar BOFs que fueron diseñados para Cobalt Strike. Pero la mayorí...

CrabLoader

CrabLoader Un cargador reflectante definido por el usuario User-Defined Reflective Loader para Cobalt Strike, escrito íntegramente en Rust. Solo quería averiguar lo difícil que sería construirlo. Resulta que no es tan difícil. Puede que añada una función de ofuscación de suspensión sleep...