Netgrave

Netgrave 메모리 덤프 취약점CVE-2018-17240을 이용해 Netwave IP 카메라에서 로그인 자격 증명을 추출하는 도구입니다. 이 프로젝트는 expcamera에서 영감을 받았으며 성능과 효율성 면에서 개선점을 제공합니다. 이 도구는 expcamera처럼 셸 명령을 통해 Linux CLI 도구를 사용하지 않기 때문에 모든 플랫폼에서 작동합니다. CVE-2018-17240 Linux 시스템에서 /proc/kcore는 시스템 메모리를 ELF 코어 이미지로 노출하는 가상 파일입니다. 이 카메라들은 MMU가 없는 ARM7...

KeePwn

레드팀이 KeePass 인스턴스를 발견하고 비밀을 추출하는 데 도움이 되는 파이썬 스크립트입니다. 기능 KeePass 검색 SMB C$ 공유를 통해 KeePass 설치 파일 찾기 여러 타겟 소스IP, CIDR, 호스트명, 파일 지원 KeePass 메타데이터버전, 마지막 접근 시간 확인 Impacket 기반 RPC를 통해 실행 중인 KeePass 프로세스 확인 병목 호스트를 피하기 위한 멀티스레드 구현 검색 결과를 CSV로 내보내기 KDBX 데이터베이스 찾기 KeePass 플러그인 악용 SMB C$ 공유를 통해 KeePass...

BSOD_bitlocker_recover

BitLocker VMK 캐빙 도구 이 Python 스크립트는 블루 스크린 오브 데스BSOD와 같은 메모리 덤프 파일에서 잠재적인 BitLocker 볼륨 마스터 키VMK를 추출하는 데 도움을 줍니다. BitLocker 암호화가 관련된 포렌식 조사에서 사용하도록 설계된 명령줄 유틸리티입니다. BSOD 덤프용으로 제작되었지만 디스크 이미지, 내보낸 할당되지 않은 디스크 공간에서도 작동합니다. 사용 및 키로 드라이브 마운트 데모:...

keepass_dump

Keepass-Dumper 이는 CVE-2023-32784에 대한 제 PoC 구현입니다. 제 버전은 @vdohney의 PoC를 파이썬으로 포팅한 것으로, 몇 가지 변경 사항과 추가 기능이 포함되어 있습니다. 변경 사항 한 가지 변경 사항은 덤프 파일에서 찾을 수 있는 알려진 문자열을 사용하여 마스터키 문자의 위치를 더 정확하게 찾아가는 것입니다. 이로 인해 잘못된 긍정 문자false positive가 줄어들고 파일 스캔 시간이 크게 단축됩니다. 덤프 파일에서 문자열이 발견되지 않으면 스캔은 처음부터 시작됩니다. 이 옵션은...

fitness-app

Fitbit 오픈 소스 안드로이드 앱 이 앱은 Jiska Classen, Matthias Hanreich, Steffen Kreis, Tobias Krichel, Johannes Riedel 및 Sven Ströher의 작업을 기반으로 합니다. 기능 BLE Fitbit 장치 검색 원래 앱처럼 Fitbit 서버에 인증 인증 재생을 위해 Fitbit 서버에서 인증 자격 증명 획득¹ 활동 덤프¹ 획득 및 복호화² 실시간 모드 액세스¹ 전체 펌웨어를 포함한 메모리 덤프² 걸음 수 수정, 원시 가속도계 데이터 읽기 등을 수행하는 사용자...

autotimeliner

AutoTimeliner Automagically extract forensic timeline from volatile memory dumps. AutoTimeliner runs multiple Volatility3 plugins against Windows, Linux, and macOS memory images, then merges their output into a single, sorted CSV timeline: Generic Timeline Plugin Plugin| What it captures ---|---...

CVE-2023-30367-mRemoteNG-password-dumper

mRemoteNG = v1.77.3.1784-NB 비밀번호 덤퍼 CVE-2023-30367 Multi-Remote Next Generation Connection Manager mRemoteNG는 사용자가 원격으로 시스템에 연결하기 위한 다중 프로토콜 연결 구성을 저장하고 관리할 수 있는 무료 소프트웨어입니다. mRemoteNG 구성 파일은 디스크에 암호화된 상태로 저장될 수 있습니다. mRemoteNG 버전 = v1.76.20 및 = 1.77.3-dev는 애플리케이션 시작 시 필요한 경우 복호화 후 구성 파일을 평문으로 메모...

CVE-2024-33901-ProofOfConcept

CVE-2024-33901-ProofOfConcept KeePassXC 버전 2.7.7에서 CVE-2024-33901 취약점을 시연하는 짧은 프로그램 클래스 보고서에 소스 코드 링크가 필요할 수 있어서 이 저장소를 만들었습니다. 취약점 재현 방법 1. KeePassXC를 열고 데이터베이스를 인증합니다. 2. 데이터베이스가 인증된 상태에서 메모리 덤프 파일을 생성합니다. 이 작업은 PID를 얻어서 수행할 수 있으며, 다음 명령어로 PID를 얻을 수 있습니다: ps aux | grep keepassxc 그런 다음 다음 명령어를...

CobaltStrikeParser

CobaltStrikeParser CobaltStrike Beacon 설정을 파싱하는 Python 파서 설명 parsebeaconconfig.py를 스테이지리스 비콘, 메모리 덤프 또는 metasploit 호환 모드기본값 true가 있는 C2 URL에 사용합니다. 많은 스테이지리스 비콘은 PE이며, 비콘 코드 자체가 .data 섹션에 저장되고 4바이트 키로 XOR 처리됩니다. 스크립트는 휴리스틱하게 XOR 키와 데이터를 찾아내고, 데이터를 복호화한 후 설정을 파싱합니다. 이 스크립트는 라이브러리로도 사용할 수 있도록...

CVE-2023-32784

keepass-dump-masterkey 사용법 python3 poc.py 미리보기 참고로 덤프에서는 첫 번째 문자를 찾을 수 없으며, 두 번째 문자에 대해서는 스크립트가 몇 가지 가능성만 제공합니다. 어쨌든 아래 스크립트를 사용하여 2자에 대해 브루트포스를 실행하는 것을 권장합니다. !/bin/sh Usage: ./keepass-pwn.sh Database.kdbx wordlist.txt wordlist with 2 char while read i do echo "Using password: "$i"" echo "$i" |...

DuplicateDump

DuplicateDump DuplicateDump는 MirrorDump의 포크로서 다음과 같은 수정 사항이 있습니다: DInovke 구현 LSASS 덤프 후 정리할 수 있는 C++로 작성된 LSA 플러그인 DLL. MirrorDump는 LSA 플러그인을 .NET 어셈블리로 컴파일하여 LSASS 프로세스에 의해 언로드되지 않습니다. 그래서 MirrorDump는 플러그인을 삭제하지 못했습니다. 덤프 프로세스즉, DuplicateDump의 PID가 명명된 파이프를 통해 LSA 플러그인에 공유됩니다. LSASS PID 대신 값 "0"...

gentlemen-decryptor

The Gentlemen 랜섬웨어 복호화 도구 The Gentlemen 랜섬웨어를 위한 최초의 공개 복호화 방법입니다. The Gentlemen hastalamuerte라고도 알려짐은 현재 전 세계에서 가장 활발한 ransomware-as-a-serviceRaaS 운영으로, 2026년 1분기 기준 320명 이상의 확인된 피해자 가 있습니다. 지금까지 Cybereason, Group-IB, Check Point, ASEC, Trend Micro 등 주요 보안 공급업체는 암호화가 암호학적으로 깨지지 않는다고 평가했습니다. 공개 복...

WSASS

WSASS 이 도구는 PPLProtected Process Light로 보호되는 프로세스예: LSASS.EXE의 메모리를 덤프하기 위해 오래된 WerfaultSecure.exe 프로그램을 사용하는 도구입니다. 출력은 Windows MINIDUMP 형식입니다. 이 도구는"MDMP" 매직 헤더를 자동으로 PNG 매직 헤더로 대체합니다. 덤프가 완료된 후에는 파일 시작 부분의 원래 4바이트 매직을 원래 4바이트인 0x4D, 0x44, 0x4D, 0x50 "MDMP"로 복원해야 합니다. 명령줄 구문 WSASS.exe...

radare2-scripts

radare2 스크립트 요약 radare2와 함께 사용하기 위한 스크립트 '모음집'입니다. r2bincarver.py - 메모리 덤프에서 파일을 추출carve하는 데 사용되는 스크립트. r2hashfuncdecoder.py - 셸코드에서 흔히 발견되는 해시된 함수를 디코딩하는 데 사용되는 스크립트. 스크립트 Binary Carver 이 스크립트는 오프셋과 크기가 주어지면 메모리 덤프MDMP에서 파일을 추출합니다. 추출 외에도 추출된 PE 파일에 대한 기본 패치도 지원합니다. 이 글을 작성하는 시점 기준으로 PE 섹션 헤더 내의...

KeePass-dump-py

KeePass-dump-py KeePass 2.X 마스터 비밀번호 덤퍼 CVE-2023-32784 POC를 Python으로 재작성한 것입니다. 취약점 및 공격 과정에 대한 자세한 내용은 원본 POC를 참조하십시오. 이 스크립트의 기능: 1. KeePass 프로세스가 실행 중인지 확인하고, 그렇지 않으면 KeePass를 실행합니다. 2. WerFault를 사용하여 KeePass 프로세스를 덤프합니다 LSASSY에서 가져온 코드 스니펫 사용. 3. 프로세스 덤프에서 비밀번호를 검색합니다...

PPLBlade

PPLBlade 메모리 덤프를 난독화하고 디스크에 저장하지 않고 원격 워크스테이션으로 전송할 수 있는 보호된 프로세스 덤퍼 도구입니다. 주요 기능 : 1. PPL 보호 우회 2. 메모리 덤프 파일을 난독화하여 Defender 시그니처 기반 탐지 메커니즘 회피 3. RAW 및 SMB 업로드 방식을 사용하여 디스크에 저장하지 않고 메모리 덤프 업로드 파일리스 덤프 이 도구에서 사용된 기술에 대한 개요는 다음에서 확인할 수 있습니다:...

kdmp-parser

kdmp-parser 이 C++ 라이브러리는 Windows 커널 full 덤프WinDbg의 .dump /f, BMP 덤프WinDbg의 .dump /ka 및 2022년에 도입된 더 최신 덤프 유형을 파싱합니다. 이 라이브러리는 64비트 덤프 로드를 지원하며 다음과 같은 항목에 대한 읽기 액세스를 제공합니다: 컨텍스트 레코드, 예외 레코드, 버그체크 매개변수, 물리 메모리. 컴파일된 바이너리는 릴리스 섹션에서 제공됩니다. 특별히 감사드립니다: hugsy님의 수많은 기여새로운 Python 바인딩, CI 개선, 새로운 덤프 유형 등,...

sshkey-grab

sshkey-grab 이 스크립트는 ssh-agent의 버그를 이용하여 에이전트에 마지막으로 추가된 키를 가져올 수 있습니다. ssh-agent가 종료되지 않고 이전 키가 제거된 이후 새 키가 추가되지 않은 경우, ssh-add -t, -d, -D를 통해 ssh-agent에서 제거된 키를 복구할 수 있습니다. 이 버그는 보고되었으며 새 버전의 OpenSSH에서 수정될 수 있으므로, 이 도구가 작동하지 않을 수 있습니다. 요구 사항 grabagentmem.sh는 제대로 작동하기 위해 대상 시스템에서 root 액세스와 gdb가...

blindsight

blindsight "적자생존이라는 것은 없다. 어쩌면 가장 적절한 자의 생존일지도 모른다. 해결책이 최적인지는 중요하지 않다. 중요한 것은 대안을 이기느냐이다." -- Peter Watts, Blindsight 2006 LSASS 메모리를 덤프하고 기본 대응 조치를 우회하는 레드팀 도구입니다. TxFTransactional NTFS API를 사용해 메모리 덤프를 투명하게 스크램블하여 AV/EDR/XDR을 트리거하지 않도록 합니다. 관련 기사...

DeadMatter

DeadMatter DeadMatter는 메모리 덤프에서 활성 로그온 세션의 비밀번호 해시와 같은 민감한 정보를 추출하기 위해 C으로 작성된 특수 도구입니다. 이 도구는 카빙carving 기법을 사용하여 프로세스 또는 전체 메모리 덤프raw 또는 minidump 형식, 압축 해제된 최대 절전 모드 파일, 가상 머신 메모리 파일, 또는 로그온 자격 증명을 포함할 수 있는 기타 유형의 파일 등 다양한 파일 유형에서 자격 증명을 검색합니다. 이 도구는 시스템 보안 취약점 분석을 용이하게 하고 디지털 포렌식 조사를 지원하므로, 침투...