133 matches found
HallWatch
HallWatch Copyright C 2026 Adam Zypherion — licensed under GPL-3.0. Indirect syscalls are simple once you have seen one. The loader walks ntdll, reads the SSN out of Nt prologue, finds the 0F 05 two bytes further in, sets r10/rax/rdx/r8/r9 itself, and jmps straight at those two bytes. The syscall...
stealth_call
这是什么？ 一个仅头文件的 Windows x64 库，让你无需触碰 ntdll 导入即可调用任意 NT 系统调用，无需在二进制文件中留下字符串，也不会出现那些让 EDR 抓狂的常见红旗特征。 无 CRT。无 STL。无 IAT。整个库编译后仅约 19KB，且完全没有 DLL 依赖。 设计初衷是规避现有系统调用库的常见缺陷——明文文本字符串、已知哈希常量、从非 ntdll 内存直接发起系统调用、暴露"我在做奇怪的事"的 IAT 导入、SECNOCHANGE IOC、CRT 臃肿。这些在这里统统不存在。 特性 系统调用引擎 间接系统调用——存根跳转到 ntdll 自身的 syscall;...
MalDev
MalDev やあ！私のリポジトリへようこそ : 私はキャプテン・マグマです。サイバーセキュリティ、マルウェア開発、そして分析に情熱を注いでいる個人です。 このリポジトリの目的は、私が学習し、ノートとコードでこのリポジトリを更新していく中で、自分のMalDevのロードパスを管理することです。 私はこれらのテクニックの作者ではありません。これは、私によるそれらの実装に過ぎません。 !Important 明確にしておきたいのですが、私は決して専門家ではなく、せいぜい初心者レベルです。ですので、このリポジトリから驚くべきAPTのようなマルウェアが生まれるとは期待しないでください。...
NTDLL-Unhook
Desenganche de NTDLL Desenganche adecuado de la sección .text de ntdll mediante API nativa. Compatible con x86/x64/wow64. Cómo Funciona El programa recorre el PEB para localizar la dirección base de ntdll.dll y analiza manualmente la tabla de exportación PE para resolver las funciones de la API N...
NyxInvoke
NyxInvoke NyxInvoke 是一个基于 Rust 的多功能工具，旨在执行 .NET 程序集、PowerShell 命令/脚本、Beacon 对象文件（BOF）和 PE 文件，并内置 Ntdll 取消挂钩（Unhooking）、无补丁 AMSI 和 ETW 绕过功能。它可以编译为独立可执行文件或 DLL。 功能特性 执行 .NET 程序集 运行 PowerShell 命令或脚本 加载并执行 Beacon 对象文件（BOF） 加载并执行 PE 文件（EXE） 内置无补丁 AMSI（反恶意软件扫描接口）绕过 内置无补丁 ETW（Windows 事件跟踪）绕过 内置 NTDLL...
nim-loader
nim-loader nimを学ぶための非常に粗い作業中の冒険で、リソースを寄せ集めて一般的なEDR/AV回避技術を実装したシェルコードローダーを作成しています。 これは乱雑なもので、研究目的のみです！ 自分で修正せずにコンパイルして実行できるとは期待しないでください。 手順 loader.nim 内のバイト配列を自分のx64シェルコードに置き換えてください EXEをコンパイルして実行します: nim c -d:danger -d:strip --opt:size "loader.nim"...
WTSRM
WTSRM - 与我的演讲对应的 Writing Tiny Small Reliable Malware 演示仓库 使用 \KnownDlls\ 解除所有 Windows DLL 的 Hook 无 CRT 依赖 体积小 低熵 随机字符串加密密钥（因此没有明文字符串） API 哈希 Hook 检测 绕过 Hook 以在 ntdll 上执行初始 unhook...
voidsyscall
voidsyscall Cero WinAPI. Cada primitiva NT se resuelve en tiempo de ejecución desde ntdll en memoria — las instrucciones SYSCALL se emiten directamente mediante stubs de ensamblador Plan9, sin tabla de importaciones, sin tocar los hooks de ntdll en modo usuario. C2 sobre HTTPS / DNS / ICMP,...
MemFiles
MemFiles 免责声明： 这个项目很复杂，如果你不了解它的工作原理并且没有进行充分测试，可能会导致 Beacon 崩溃并失去访问权限！ 我强烈建议你阅读到“Technical Details, Design Considerations, and Commentary”部分之前的所有文档！ 简介 MemFiles 是一套用于 CobaltStrike 的工具包，它使操作员能够将 Beacon 进程产生的文件写入内存，而不是写入目标系统的磁盘。它已成功在 Windows 7、10 和 11 上测试通过；相应的服务器版本应该也可以正常工作。MemFiles 仅支持 x64 Beacon。...
ntqueueapcthreadex-ntdll-gadget-injection
🧪 NtQueueApcThreadEx NTDLL Gadget 注入 简介 这种新颖的方式通过滥用 ApcRoutine 和 SystemArgument0-3 参数来使用 NtQueueApcThreadEx，传入一个随机的 pop r32; ret gadget，可用于隐蔽的代码注入。在此 PoC 中，该 gadget 是从 ntdll.dll 内存区域中随机挑选的、与特定模式匹配的 gadget。这意味着该 gadget 会 返回到 shellcode 中。 1. 在目标进程中分配 shellcode。为获得最佳效果，应配合 shellcode-plain-sight 项目使用...
ntdlll-unhooking-collection
此存储库没有 README。...
NTDLLReflection
NTDLLReflection 通过基于 Windows ReleaseID 从远程服务器在内存中加载反射式 Ntdll，绕过用户态 EDR 钩子，从而避免打开 ntdll 的句柄，并从导出表触发导出的 API...
PE-Obfuscator
PE-Obfuscator 以规避（Evasion）为设计目标的 PE 混淆器，需要 管理员权限 才能加载 RTCore64 驱动程序。 视频： https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4 混淆器： root@kitploit: - 从远程服务器获取经过 XOR 处理的无文件 PE - 将加载器释放到磁盘 - 向该加载器添加随机节区 - 将经过 XOR 处理的无文件 PE 添加到新建的加载器节区 加载器：...
Fuck-Etw
「⚙️」绕过 ETW 与取消挂钩 Ntdll 绕过事件跟踪 WindowsETW 并取消挂钩 ntdll。 root@kitploit: |\ /| | \ /\ \ /|\ /| | /| || /| \ / /| / | | | | | | || | | / / | | | | | | | | | | | || | | | | | | | | | | | | | || | | \ \ | | | | || || | | | || /| / \ | /\ | | | | |/ /|/ // Made by sorahed v1.0 i Hooked Ntdll Base...
CallstackSpoofingPOC
调用栈欺骗 + 间接系统调用 POC 这个项目由一个简单的 C++ 自注入 Dropper 组成，专注于 EDR 规避 POC。为了实现它，我结合使用了 Windows Thread Pooling 来隐藏调用栈，并使用 indirect syscalls 来避免 NTDLL 中的挂钩。 2023-10-08-23-22-35-Trim image image image image 从图片中可以看出，在 Cordyceps 代码中，它执行了一次跳转到 ntdll，以利用其中的一条 syscall 指令。这应被视为恶意行为；然而，在执行 ntdll 中的返回后，我们会返回到位于 ntdl...
LdrLibraryEx
LdrLibraryEx 一个用于将 dll 加载到内存中的小型 x64 库。 特性 低依赖性与低函数使用（仅使用 ntdll.dll） 位置无关代码 轻量且精简 易于使用 从内存加载模块 从磁盘加载模块 支持 API Sets 绕过映像加载回调（通过私有内存） 支持具有延迟导入、tls、seh 等的映像 文档 库标志 标志可以组合使用 LIBRARYEXNONE：从磁盘将模块映射到内存并执行入口点。 LIBRARYEXBYPASSLOADCALLBACK：从磁盘将模块映射到私有内存（无后备），从而绕过映像加载回调（PsSetLoadImageNotifyRoutine）...
RefleXXion
はじめに RefleXXionは、AV/EPP/EDRなどで利用されるユーザーモードフックをバイパスするためのユーティリティです。ユーザーモードフックをバイパスするために、まずLdrpThunkSignature配列内のNtOpenFile、NtCreateSection、NtOpenSection、NtMapViewOfSectionのシステムコール番号を収集します。その後、ユーザーモードフックをバイパスするために2つのテクニックから選択できます。...
CVE-2019-12899
Delta Electronics DeviceNet Builder 2.04 has a User Mode Write AV starting at ntdll!RtlQueueWorkItem+0x00000000000005e3...
