elfloader

概要 elfloader は、ELFファイル用の超シンプルなローダーで、ELFのフラットなインメモリ表現を生成します。 これをRustと組み合わせれば、適切で安全な高水準言語でシェルコードを書くことができます。LLVMがターゲットにできる任意のターゲット（非常にエキゾチックなプラットフォームやABI向けのカスタムターゲット仕様を含む）を使用できます。32ビットシステムでの u64 の使用、境界チェック付き配列、アロケーションのドロップ処理などをお楽しみください: これは単純に、すべての LOAD セクションを連結し、ギャップがある場合はゼロ埋めを行い、1つの大きなフラットファイルにします...

eden

Eden Eden 로더는 Crystal Palace로 빌드된 Cobalt Strike용 PoC UDRL로, Raphael Mudge의 페이지 스트리밍 기법과 모듈형 콜게이트현재 Sleepmask-VS Draugr callgate BOF의 PIC 버전를 결합합니다. Eden 로더의 목표는 다음과 같습니다: Crystal Palace를 사용하여 'capabilities'를 결합및 재사용함으로써 커스텀 로더/도구를 신속하게 개발할 수 있는 강력함 을 입증 다른 사람들이 기반으로 삼을 수 있는 예제 리소스 역할 보안 실무자들이 UDR...

HintInject

HintInject HintInject은 제가 PE 파일과 Import Directory Table 구조를 가지고 실험하면서 개발한 셸코드 임베더 및 로더입니다. 로더 실행 파일에 가짜로 추가된 DLL 엔트리의 Import Lookup Table을 통해 접근 가능한 Hint/Name Table 항목에 셸코드를 덩어리로 넣습니다. 로더는 이 덩어리들을 병합하여 셸코드를 실행합니다. 이 기술이 새로운 것인지는 모르지만 재미로 공유하고 싶었습니다. DLL 로딩 프로세스 HintInject가 어떻게 작동하는지 설명하기 전에, Stac...

Remote-BOF-Runner

Remote BOF Runner Crystal Palace 기반 PIC 로더를 사용하여 Beacon Object FilesBOF를 원격으로 실행할 수 있는 Havoc 확장 프레임워크입니다. 개요 Remote BOF Runner는 Crystal Palace PIC 로더를 활용하여 임의의 프로세스에서 BOF를 안전하게 실행할 수 있게 해줍니다. 이 프레임워크는 명명된 파이프를 통한 정교한 프로세스 간 통신IPC 메커니즘을 구현하여 인젝션된 프로세스의 비콘 출력을 명령 및 제어C2 서버로 투명하게 전달합니다. 설정 및 설치 확장...

BootStomp

BootStomp BootStomp is a boot-loader bug finder. It looks for two different class of bugs: memory corruption and state storage vulnerabilities. For more info please refer to the BootStomp paper at https://seclab.cs.ucsb.edu/academic/publishing/bootstomp-security-bootloaders-mobile-devices-2017 To...

CVE-2023-4911-PoC

GNU C 라이브러리 동적 로더 취약점 CVE-2023-4911 개요 GNU C 라이브러리glibc는 GNU 시스템의 C 라이브러리로, 리눅스 기반 시스템의 핵심 구성 요소입니다. glibc는 프로그램에 필수적인 기능시스템 호출, open, malloc, printf, exit 등 일반 함수을 정의합니다. 동적 로더는 glibc의 중요한 구성 요소로서, 공유 라이브러리를 관리하고 런타임에 연결하여 프로그램을 준비하고 실행하는 핵심 역할을 합니다. GLIBCTUNABLES 환경 변수 GLIBCTUNABLES 환경 변수는 재컴파일...

zig-pe

zig-pe Zig로 작성된 반사형 PE 로더입니다. 네이티브 및 .NET PE 파일을 메모리에서 직접 로드하고 실행합니다. 기능 PE 로딩 파이프라인 DOS 및 NT 헤더 파싱 런타임에 PE32 및 PE32+ 할당된 메모리에 섹션 매핑 임포트 해석 이름 및 순서, PE32 4바이트 / PE32+ 8바이트 썽크 베이스 재배치 적용 HIGHLOW, DIR64, ARMMOV32, THUMBMOV32 지연 임포트 해석 DataDirectory13, 최신 RVA 형식 예외 처리기 등록 RtlAddFunctionTable,...

NiCOFF

NiCOFF 기본적으로 NiCOFF는 Nim으로 작성된 COFF 및 BOF 파일 로더입니다. NiCOFF는 BOF 또는 COFF 파일을 읽어 메모리에서 파싱하고 실행합니다. 전체 프로젝트는 Yasser와 Kevin의 COFF Loader 프로젝트를 기반으로 합니다. 이 프로젝트들의 로더와 비콘 함수는 모두 Nim으로 다시 작성되었습니다. 컴파일 다음 명령어로 소스 코드를 직접 컴파일할 수 있습니다: nim c -d:release -o:NiCOFF.exe Main.nim "cannot open file" 오류가 발생하는 경우,...

shim

shim, 1단계 UEFI 부트로더 shim은 실행 시 다른 애플리케이션을 열어 실행하려고 시도하는 간단한 EFI 애플리케이션입니다. 처음에는 표준 EFI LoadImage 및 StartImage 호출을 통해 이를 시도합니다. 이러한 호출이 실패하면예: Secure Boot가 활성화되어 있고 바이너리가 적절한 키로 서명되지 않은 경우 shim은 내장 인증서를 기준으로 바이너리를 검증합니다. 검증에 성공하고 바이너리 또는 서명 키가 금지되지 않은 경우 shim은 바이너리를 재배치하고 실행합니다. 프로토콜 shim 잠금 프로토콜...

NimSyscallPacker

NimSyscallPacker / Loader 이 도구는 x33fcon에서의 발표 이후 공개되었습니다. 2021년부터 2024년까지 제 개인 주요 코딩 프로젝트였으며, 현재는 더 이상 사용되지 않는deprecated 상태로 간주되어 더 이상 유지보수되지 않습니다. 제 쪽에서 버그 수정이나 기능 업데이트를 기대하지 마세요. 대신, 검증된 Red Team 및 Pentester를 위한 상용 통제 버전인 RustPack이 현재 유지보수되고 있으며, 기능이 훨씬 더 풍부할 뿐만 아니라 OPSec 측면에서도 훨씬 더 안전합니다. 이...

ASPX_WebShell_COFFLoader

COFF 로더를 사용한 ASPX 웹 셸 TrustedSec의 CSCOFFLoader를 기반으로 함 설명 이 ASPX 웹 셸은 반-대화형 Python 클라이언트를 사용하여 대상 서버에서 Beacon Object Files BOFs 를 실행할 수 있게 합니다. TrustedSec의 CSCOFFLoader에서 파생된 COFF 로더 구현을 활용합니다. 이 프로젝트는 보안 연구 및 승인된 침투 테스트용 으로만 제공됩니다. 이 프로젝트를 사용함으로써 귀하는 모든 관련 법률 및 규정을 준수하는 데 동의합니다. 사전 요구 사항 사용 전에 다...

Quantum-Silicon-Core-Loader

Quantum Silicon Core Loader 주요 코어: qslcl.asm v0.0.2 개발 중 보조 모듈: qslcl.bin v0.7.4 범용 컨트롤러: qslcl.py v2.2.2 법적으로 보호되는 연구 - 이 프로젝트는 보안 연구, 수리 권리, 학문적 자유를 위한 기존 법적 프레임워크 하에서 운영됩니다. 자세히 알아보기 개요 Quantum Silicon Core Loader QSLCL 는 부트로더 이후, 벤더 이후, OS 이후 계층에서 실리콘 경계에서 직접 작동하는 포스트-부트로더입니다. 기존 보안 모델을 넘어서...

Phantom-Evasion-Loader

SROP支援のクロスメモリアタッチ（CMA）インジェクション（ダイレクトシステムコール経由）。 👻 Phantom-Evasion-Loader x64 Linux Phantom-Evasion-Loaderは、最新のEDR/XDRソリューションやFalco（eBPF）などのカーネルレベルモニターの検出表面を最小化するために設計された、スタンドアロンの純粋なx64アセンブリインジェクションエンジンです。SROPやゼロコピーインジェクションといった高度な技術を活用し、ペイロードをマシン内のゴーストとして配送します。 🧠 このコードは一体何をするのか？...

PythonAESObfuscate

PythonAESObfuscate Pythonic way to load shellcode. Builds an EXE for you too! Usage Place a payload.bin raw shellcode file in the same directory. Default Architecture is x86 run python obfuscate.py Default output is out.py Requirements Windows Python 2.7 Pyinstaller PyCrypto PyCryptodome didn't...

ReflectiveDLLInjection

개요 Reflective DLL 인젝션은 반사적 프로그래밍reflective programming 개념을 활용하여 호스트 프로세스의 메모리에서 라이브러리 로딩을 수행하는 라이브러리 인젝션 기법입니다. 즉, 라이브러리가 최소한의 PEPortable Executable 파일 로더를 구현하여 스스로를 로딩하는 역할을 담당합니다. 이를 통해 호스트 시스템 및 프로세스와의 최소한의 상호작용만으로 로딩 방식과 호스트와의 상호작용 방식을 제어할 수 있습니다. 이 인젝션은 해당 아키텍처가 지원되는 Windows NT4부터 Windows 8까...

LoadReload

LoadReload 셸코드 로더 석사 논문 작업을 기반으로 함, Sliver-셸코드25MB 미만...용으로 설계되었습니다. !Note 기능: 페이로드의 멀티바이트 XOR 복호화 로컬에서 페이로드 가져오기 KUSERSHAREDDATA를 통한 BusySleep 함수로 안티-에뮬레이션 EDR 디컨디셔닝 / 메모리 스캐너 리소스 낭비를 위한 RW-RX 루프 "스톰프드 모듈에서 네트워크 모듈" 같은 행동 알림에 대비한 네트워크 DLL 사전 로드 운영자가 선택한 디코이 DLL 현재 edgehtml.dll의 모듈 오버로딩 API 해싱 및 ...

YaraVM

YaraVM Yara는 파일에서 패턴을 매칭하는 도구로, 주로 악성코드 분석에 사용됩니다. Yara 규칙은 바이너리 형식으로 컴파일되어 나중에 로드 및 실행될 수 있습니다. 이 저장소는 IDA Pro용 프로세서 모듈과 로더를 포함하고 있어, 컴파일된 Yara 규칙을 로드하고 분석할 수 있습니다. 설치 IDA에 YaraVM을 설치하려면 다음 단계를 따르세요: 1. yaraloader.py 파일을 IDA loaders 폴더에 복사합니다. 2. yaraproc.py 파일을 IDA proc 폴더에 복사합니다. 3. libyara.ti...

p3-loader

P³-Shellcode Loader - 프로세스 매개변수 포이즈닝 저자: Max Hirschberger & Ogulcan Ugur 목차 1. 소개 2. 일반적인 프로세스 인젝션 및 관련 시스템 API 3. 필요한 Windows 내부 기술 기반 3.1 프로세스 생성 API 및 시작 매개변수 3.2 프로세스 환경 블록PEB 4. 프로세스 매개변수 포이즈닝P³ 4.1 포이즈닝된 매개변수로 프로세스 시작 4.2 새 프로세스에서 주입된 데이터 위치 찾기 4.3 주입된 코드 실행 4.4 구현된 페이로드 인젝션 5. 문자열에서 임의의 셸코...

Huan

Huan Huan은 암호화된 PE 로더 생성기로, PE 파일 구조와 PE 로딩 프로세스를 학습하기 위해 제가 개발했습니다. 실행될 PE 파일을 매번 다른 키로 암호화하며, 로더 바이너리의 새 섹션에 포함시킵니다. 현재 64비트 PE 파일에서 작동합니다. 작동 방식? 먼저 Huan이 주어진 PE 파일을 읽고 CBC 모드 AES-128 암호화 알고리즘으로 암호화합니다. 암호화를 위해 Tiny AES in C를 사용했으며, 이 라이브러리의 요구 사항에 맞춰 패딩 코드를 준비했습니다. 암호화가 완료되면 Visual Studio...

laZzzy

laZzzy laZzzy는 악성코드에서 일반적으로 사용되는 다양한 실행 기법을 보여주는 셸코드 로더입니다. laZzzy는 다양한 오픈소스 헤더 전용 라이브러리를 사용하여 개발되었습니다. 특징 직접 시스템 콜 및 네이티브 Nt 함수 모든 함수는 아니지만 대부분 IATImport Address Table 우회 암호화된 페이로드 XOR 및 AES 무작위로 생성된 키 페이로드의 자동 패딩 필요 시 NOPS\x90 사용 페이로드의 바이트 단위 메모리 내 복호화 XOR 암호화된 문자열 PPID 스푸핑 비 Microsoft 서명 DLL 차...