Hunt-Weird-Syscalls

Hunt-Weird-Syscalls 这是一个基于 ETW 的 POC，用于监控异常系统调用（syscall）。 目前，监控 NtOpenThread 和 NtSetContextThread 这两个系统调用，以识别表明直接 和间接 系统调用的 IOC。 描述 该项目使用 ETW，更准确地说是基于内核的 ETW 提供程序，来监控 IOC。 内核中的 ETW 提供程序可以被有效利用，因为所发出事件的调用跟踪（calltrace）包含执行系统调用时的用户态地址。 这样可以监控表明直接和间接系统调用的 IOC，这是一种常被威胁行为者利用的技术： 1:...

apiscope

ApiScope ApiScope 是一个 Windows x64 研究工具，用于跟踪新进程或运行进程中选定的 API 调用。它通过 Windows 调试器 API 跟踪 DLL 加载事件，并在被调试者从每个事件继续运行之前安装钩子。 包含的钩子： ntdll.dll!NtCreateFile（记录目标路径） ntdll.dll!NtOpenFile（记录目标路径） ntdll.dll!NtReadFile ntdll.dll!NtWriteFile ntdll.dll!NtClose ntdll.dll!NtOpenKey（记录键路径） ntdll.dll!NtSetValueKey...

Hunt-Weird-ImageLoads

Hunt-Weird-ImageLoads 该项目用于尝试由 ImageLoad 事件引起的各种 IOC。 它利用 ETW 监控 ImageLoad 事件，并遍历调用栈以识别一些可能的 IOC，例如： 调用栈中的 RWX 页面 调用栈中被 stomp 的模块（stomped module） 模块代理（module proxying）（ntdll - kernel32!LoadLibrary），如 此处 或 此处 所述 专用于加载库的新线程 本仓库中有两个示例程序，分别用于 模块代理 和 专用线程 。 结论 在我的测试中，监控调用栈中的私有或模块 stomped...

CVE-2022-23131

zabbix-saml-bypass-poc cve-2022-23131 本程序仅供甲方企业用户人员内部风险自查使用，禁止用于任何形式的未授权安全测试。 fofa: app="ZABBIX-监控系统" && body="saml" 使用方法： go build -o zexp chmod a+x zexp ./zexp check -t https://x.x.x.x/index.php -u Admin 截图：...

ClientInspectorV2

ClientInspector v2 简介 你掌控全局了吗？ —— 还是你的某些核心基础架构流程，如补丁、防病毒、BitLocker启用 ，正在偏离轨道？或者你想进行高级资产盘点 ，能够对照联想或戴尔的保修信息查询保修状态 ？那就继续往下看。 试试 ClientInspector ，它可以帮助你深入了解 你的整个客户端环境 。 ClientInspector 对社区免费开源 —— 它旨在酷炫展示 如何利用 Azure 日志引入管道 、Azure 数据收集规则 、Azure LogAnalytics 从客户端回传数据 ；并通过 Azure Monitor 和 Azure 仪表板...

samplicator

UDP Samplicator This small program receives UDP datagrams on a given port, and resends those datagrams to a specified set of receivers. In addition, a sampling divisor N may be specified individually for each receiver, which will then only receive one in N of the received packets. DOWNLOADING Thi...

WhacAMole

WhacAMole WhacAMole 是一个全面分析内存中进程的程序，能够检测并告警与恶意软件相关的异常，同时将所有相关信息呈现并保存到文件中，以便进行验证、关联或分析，此外还会转储内存区域、进程和可疑模块。 为了实现这一点，它不仅分析进程内存区域及其加载模块的异常，还深入分析进程使用的所有内存空间。 目前，WhacAMole 能够识别 67 种与恶意行为相关或仅可能由恶意软件导致的告警。 它显示进程、内存和模块的 70 多种属性，将内存中读取的许多属性与磁盘上相应文件中的属性进行比较，对可疑内存区域进行部分反汇编，并对内存中被恶意软件修改过的导出函数进行部分反汇编，以便分析人员自行调...

GitMonitor

GitMonitor GitMonitor Una forma de monitorear continuamente información sensible que podría estar expuesta en Github Resumen Sé que hay muchas otras herramientas disponibles para encontrar información sensible actualmente filtrada en Github, yo mismo todavía uso algunas de ellas. Sin embargo, cre...

CVE-2024-49681

CVE-2024-49681 WP Sessions Time Monitoring Full Automatic = 5.0.12 time-based blind query SLEEP Payload: action=activitytimeaction&uri=test Parameter: uri POST Type: error-based Title: MySQL = 5.1 AND string error-based - WHERE, HAVING, ORDER BY or GROUP...

EagleEye

EagleEye - 基于主机的入侵检测与网络监控系统 该项目目前仍需大量工作才能投入使用，因为这是我的毕业设计，所以并非用户友好型，仅限有经验的用户使用，目前为测试版。我将它发布/制作出来仅用于教育目的！ EagleEye 由两部分组成： 客户端（Client） 用 Go 语言编写 用途: 捕获设备上的每个数据包，提取常见协议中的重要细节，最后将所有收集到的数据发送到主控端（如果主控端在线）。 使用: 应安装在你想要监控的每个设备上（例如：公司员工的设备）。 主控端（Master） : 用 Python 和 Bootstrap 编写 用途: 接收客户端发送的每个数据包，在 GUI...

thelightscope

LightScope 看清你的扫描者 LightScope 是一款轻量级的开源网络安全监控工具，能将关闭的端口转化为蜜罐。无需专用基础设施，即可发现谁在扫描你的系统。 由 USC信息科学研究所 提供。 它能做什么 监控关闭端口上的攻击者连接 运行蜜罐服务以观察攻击模式 向 AbuseIPDB 和 ISP 报告攻击者 生成个性化的 IP 黑名单 提供 Web 仪表盘，网址为 thelightscope.com 它不是 LightScope 并非防病毒或 EDR 软件。它不会拖慢系统速度，也不会干扰你的应用程序。它被动地观察网络流量，并在你未使用的端口上运行轻量级蜜罐服务。 使用场景 服务器...

RPCMon

一款通过 Windows 事件跟踪（ETW）扫描 RPC 通信的 GUI 工具。 该工具作为关于主机与 Windows 容器之间 RPC 通信研究的一部分发布。 概述 RPCMon 可以帮助研究人员获得进程间 RPC 通信的高层次视图。它像 Procmon 一样构建，便于使用，并采用 James Forshaw 的 .NET 库来处理 RPC。RPCMon 能够显示正在调用的 RPC 函数、调用这些函数的进程以及其他相关信息。 RPCMon 使用一个硬编码的 RPC 字典来快速处理 RPC 信息，该字典包含 RPC 模块的信息。它还提供了构建 RPC 数据库的选项，以便在硬编码 RPC...

gftrace

gftrace A command line Windows API tracing tool for Golang binaries. Note: This tool is a PoC and a work-in-progress prototype so please treat it as such. Feedbacks are always welcome! How it works? Although Golang programs contains a lot of nuances regarding the way they are built and their...

Nethive-Project

Nethive-Project 零到低延迟监控系统 功能 • 安装 • 快速开始 • 贡献者 • 用户指南 Nethive项目 提供了一个由CVSS 自动测量驱动的安全信息和事件管理（SIEM）基础设施。 功能 基于机器学习的SQL注入检测 基于Chrome XSS审计器的服务端XSS检测 由Auditbeat支持的后渗透检测 Bash命令历史追踪器 对检测到的攻击进行CVSS评估 由Elasticsearch和Logstash支持的实时日志存储 基础系统监控 资源丰富的仪表盘UI 通过邮件通知可疑活动 安装 安装前，请确保已安装前提条件。...

jsmon

JSMon JSMon - 用于 BugBounty 的 JavaScript 变更监控器 使用此脚本，你可以配置你想要监控的网站上的多个 JavaScript 文件。每次运行此脚本时，这些文件将被获取并与之前获取的版本进行比较。如果它们发生了变化，你将通过 Telegram 收到通知，消息中包含脚本链接、更改的文件大小以及用于轻松检查更改的差异文件。 安装 要安装 JSMon： git clone https://github.com/robre/jsmon.git cd jsmon python setup.py install 你需要在环境中设置 Slack 或 Telegram...

sysmon-config

sysmon-config | 适合所有人fork的Sysmon配置文件 这是一份Microsoft Sysinternals Sysmon配置文件模板，带有默认的高质量事件追踪功能。 该文件应能作为一个很好的起点，用于在自包含且易于访问的包中进行系统变更监控。此配置及其结果应能让你对Sysmon的能力有一个清晰的认识。请注意，这不会追踪诸如身份验证和其他对事件调查同样至关重要的Windows事件。 sysmonconfig-export.xml 因为几乎每一行都有注释，并且各个部分都附有说明，所以它还可以作为Sysmon的教程以及Windows系统中关键监控区域的指南。...

cyberprobe

Cyberprobe 完整文档位于 https://cybermaggedon.github.io/cyberprobe-docs/ 概要 Cyberprobe 是一个网络数据包检查工具包（深度包检测），用于网络的实时监控。它在网络监控、入侵检测、取证分析以及作为防御平台方面都有应用。Cyberprobe 数据包检查适用于物理网络，也适用于云 VPC。它具有支持云规模部署的特性。 这不是一个单一、庞大的入侵检测工具包，开箱即用就能完成所有你想要的事情。如果你需要的是那样的工具，我建议你去别处看看。相反，Cyberprobe...

TrafficWatch

TrafficWatch TrafficWatch 是一个数据包嗅探工具，允许您从 PCAP 文件中监控和分析网络流量。它提供对各种网络协议的洞察，并有助于网络故障排除、安全分析等。 功能特点 针对 ARP、ICMP、TCP、UDP、DNS、DHCP、HTTP、SNMP、LLMNR 和 NetBIOS 协议的特定数据包分析。 基于协议、源 IP、目标 IP、源端口、目标端口等条件过滤数据包。 捕获数据包的摘要统计信息。 交互模式，用于深入检查数据包。 每个捕获数据包的时间戳。 用户友好的彩色输出，提高可读性。 系统要求 Python 3.x scapy argparse pyshark...

reconspider

Most Advanced Open Source Intelligence OSINT Framework ReconSpider ReconSpider is most Advanced Open Source Intelligence OSINT Framework for scanning IP Address, Emails, Websites, Organizations and find out information from different sources. ReconSpider can be used by Infosec Researchers,...

rustnet

RustNet 面向终端的进程级网络监控工具：实时呈现 TCP、UDP、QUIC 连接，自带深度包检测，默认沙箱隔离运行。 English | 简体中文 实时洞察机器对外发起的每一条连接：谁在使用它、走的是什么协议。无需 tcpdump，无需 X11 转发，也不必把 root 权限传递下去。 功能特性 进程级归属识别 ：每一条 TCP、UDP、QUIC 连接都能追溯到所属进程。Linux 使用 eBPF，macOS 使用 PKTAP，Windows 与 FreeBSD 则走原生 API。Wireshark 与 tcpdump 做不到这一点；netstat / ss 也无法展示实时状态。...