The vulnerability of the NTFS file system in Windows operating systems allows attackers to increase their privileges.

The vulnerability of the NTFS file system in Windows operating systems relates to the execution of operations beyond the buffer in memory. Exploiting this vulnerability can allow a remote attacker to increase their privileges...

CVE-2021-31956-POC

CVE-2021-31956 OSEE に向けた CVE-2021-31956 の WIP PoC コード。OSEE の試験と空き時間ができ次第、さらに改善する予定です。...

UnderlayCopy

UnderlayCopy UnderlayCopy は、低レベルNTFS取得と、保護・ロックされたシステム成果物（例: SAM 、SYSTEM 、NTDS.dit 、レジストリハイブ 、その他Windows実行中は通常アクセスできないファイル）のダンプを行うためのPowerShellユーティリティです。これをVSS や標準ファイルI/Oを使わずに実現するため、2つの相補的なモードに対応しています: MFTモード : $MFTレコードを解析し、生のボリュームセクタを読み取ってファイルデータを再構築・コピーします。 メタデータモード :...

plaso

Plaso Plaso Langar Að Safna Öllu - super timeline all the things Plaso Plaso Langar Að Safna Öllu, or super timeline all the things , is a Python-based engine used by several tools for automatic creation of timelines. Plaso default behavior is to create super timelines but it also supports creati...

CVE-2026-36213

CVE-2026-36213 CVE-2026-36213 | MEmu Android Emulator 9.2.7.0における不安定なサービスバイナリ権限を介したローカル特権昇格 | 9.3.2で修正済み CVE-2026-36213 — MEmu Android Emulator 9.2.7.0 LPE 概要 MEmu Android Emulator 9.2.7.0 におけるローカル特権昇格（LPE）の脆弱性。 サービス MEmuSVC は NT AUTHORITY\SYSTEM...

irflow-timeline

IRFlow Timeline macOS ネイティブのフォレンジックタイムライン解析。EVTX、CSV、XLSX、Plaso、$MFT、$J、ローカル AI アシスタントアーティファクトをインポート・検索・調査 — AI Secret Hunt と DFIR プロフェッショナルが実際に必要とする分析機能を搭載。Electron + SQLite 上に構築され、数百万行のデータも難なく処理します。 Eric Zimmerman の Windows 用 Timeline Explorer に着想を得ています。 主な機能 AI アーティファクト — Claude...

Dumpy

描述 该工具动态调用 MiniDumpWriteDump 来转储 lsass 内存内容。此过程无需打开指向 lsass 的新进程句柄，并使用 DInvokers 使其恶意行为更难被检测。为了在不调用 OpenProcess 的情况下获得指向 lsass 的有效进程句柄，系统会通过 NtQuerySystemInformation、NtDuplicateObject、NtQueryObject 和 QueryFullProcessImageNameW 分析系统中的所有进程句柄。 使用 NTFS 事务在将内存转储存储到磁盘或通过 HTTP 发送之前对其进行异或加密。 同时支持 x86 和 x...

blindsight

blindsight 「適者生存」なんてものは存在しない。 おそらく「最も適切な者が生き残る」だけだ。 解決策が最適かどうかは重要ではない。 重要なのは、それが代替案より優れているかどうかだけだ。 -- ピーター・ワッツ、ブラインドサイト 2006 LSASSメモリをダンプし、基本的な対策を回避するレッドチーム用ツールです。 Transactional NTFS（TxF API）を使用してメモリダンプを透過的にスクランブルし、 AV/EDR/XDRをトリガーしないようにします。 記事 https://hnsecurity.it/blog/an-offensive-rust-encore...

CVE-2025-8088

CVE-2025-8088 : WinRAR の NTFS ADS を悪用したパストラバーサル 📌 エグゼクティブサマリー CVE-2025-8088 は、WinRAR バージョン7.11以前 における重大なパストラバーサル脆弱性です。この欠陥は、NTFS Alternate Data Streams ADS を利用するアーカイブエントリのファイル名をアプリケーションが処理する方法に存在します。抽出エンジンにストリームの境界を誤解させることで、攻撃者はユーザーの意図した抽出ディレクトリをバイパスし、Windowsの Startup...

CVE-2020-16938

CVE-2020-16938 CVE-2020-16938 は、非特権ユーザーとしてディスク全体に対して無制限のファイル読み取り機能を取得できる脆弱性です。このバグは、私の友人 Jonas によって最初に発見され報告されました。彼のPoCはこちらにあります。 私のエクスプロイトのバージョンは、7zipを使用せずに直接ハンドルを取得するための一連のWindows API呼び出しで構成されています。PoCは poc フォルダ内にあり、以前私が作成したツイートを反映しています。...

RecuperaBit

RecuperaBit ファイルシステム構造の再構築とファイルの復元を試みるソフトウェアです。現在はNTFSのみ対応しています。 RecuperaBitは、以下のような状況でもディレクトリ構造の再構築を試みます。 パーティションテーブルの欠落 不明なパーティション境界 部分的に上書きされたメタデータ クイックフォーマット 再構築アルゴリズム やRecuperaBitで使用されているアーキテクチャの詳細については、私の修士論文を読むか、スライドをご覧ください。 インストール RecuperaBitはPipを使用してインストールできます。 pip install recuperabit...

RawHive

RawHive RawHive 是一个 Cobalt Strike BOF，用于直接从原始 NTFS 卷中拉取选定的 Windows 注册表配置单元。它绕过常规文件 API，遍历 NTFS 元数据以找到目标文件记录，然后直接从磁盘复制字节。 目前会查找： C:\Windows\System32\config\SAM C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY C:\Windows\NTDS\ntds.dit（如果主机是域控制器） 默认从 C: 读取，但你可以指定其他本地驱动器盘符。 工作原理 ...

tscopy

TScopy Updated 2022-03-31 Introducing TScopy It is a requirement during an Incident Response IR engagement to have the ability to analyze files on the filesystem. Sometimes these files are locked by the operating system OS because they are in use, which is particularly frustrating with event logs...

tscopy

TScopy 更新日 2022-03-31 TScopy の紹介 インシデントレスポンス（IR）対応では、ファイルシステム上のファイルを分析できることが求められます。これらのファイルは、使用中のためオペレーティングシステム（OS）によってロックされている場合があり、特にイベントログやレジストリハイブで問題となります。TScopy を使用すると、管理者権限で実行しているユーザーが、ファイルのファイルシステム上の生の場所を解析し、OS に問い合わせずにコピーすることで、ロックされたファイルにアクセスできます。 同様の機能を提供するツールは他にも存在します。例えば RawCopy...

CVE-2021-43229

CVE-2021-43229 ウォークスルー 公開情報 Windows NTFS の特権昇格の脆弱性 以下とは異なる: CVE-2021-43230 CVE-2021-43231 パッチ: 2021年12月14日 Twitter の @AravGarg3 によると、CVE-2021-43229 は悪用可能であり、整数オーバーフロー に関連しているようです。 ソース : https://twitter.com/AravGarg3/status/1479447843458863104 Windows 10 のバージョン Windows 10 のマイナーバージョン| リリース日 ---|---...

CVE-2026-41091-PoC-Exploit

CVE-2026-41091 - RedSun SolarFlare - Microsoft Defender 本地提权漏洞利用 法律免责声明与负责任使用 本工具仅供教育和授权渗透测试目的使用。 作者和贡献者不对因使用本软件而造成的任何误用或损害负责。用户须自行确保在测试前已获得目标所有者的明确书面许可。未经授权访问计算机系统在适用的联邦、州和国际网络犯罪法律下均属违法。 使用本软件即表示您同意： 仅在您拥有或已获得明确测试许可的系统上使用。 遵守所有适用的地方、州和联邦法律。 不将其用于任何恶意、破坏性或非法活动。 ! 警告： Active Directory...

LogFileParser

機能 $LogFile レコードとトランザクションエントリをデコードしてダンプします。 NTFS 属性の変更をデコードします。 $LogFile で利用可能なすべての datarun リスト情報をオプションで解決します。オプション: 「Reconstruct data runs」。 $LogFile 内のスラックスペースからトランザクションを復元します。 スラック内で見つかったトランザクションの欠落または破損したヘッダーを再構築することを選択します。オプション: 「Rebuild header」。 オプションで LSN エラーレベル値を使用して結果を微調整します。オプション: 「LSN...

CVE-2025-3464-AsIO3-LPE

CVE-2025-3464-AsIO3-LPE CVE-2025-3464: 特権のないLPEエクスプロイト for ASUS AsIO3.sys - TOCTOU認証バイパス + PreviousModeデクリメント CVE-2025-3464: AsIO3.sys ローカル特権昇格 このエクスプロイトはWindows 11 22H2以前でのみ動作します。MicrosoftはPreviousModeの不正操作を修正しました。 ASUS AsIO3.sysドライバ向けのローカル特権昇格エクスプロイトです。NT AUTHORITY\SYSTEMを取得します。 概要...

ntfstool

ntfstool NTFSTool is a forensic tool focused on NTFS volumes. It supports reading partition info MBR, partition table, VBR but also information on Master File Table, Bitlocker encrypted volume, EFS encrypted files, USN journal and more. Download the latest binaries on AppVeyor or by checking the...

ntfstool

ntfstool NTFSTool は、NTFS ボリュームに特化したフォレンジックツールです。 パーティション情報（MBR、パーティションテーブル、VBR）の読み取りに加え、マスターファイルテーブル、BitLocker 暗号化ボリューム、EFS 暗号化ファイル、USN ジャーナルなどの情報も取得できます。 最新のバイナリは AppVeyor から、または GitHub の最新 アーティファクト を確認してダウンロードしてください。 機能の例については、以下の 例 を参照してください！ deepwiki...