TABPE

TABPE TABPEとは？ TABPE （TABriz + PE の組み合わせ。タブリーズは私の故郷であり、この街への愛情からこのプロジェクトを名付けました）は、クリーンで完全に更新されたWindows 10 ProおよびWindows 11 Pro上のすべてのPEファイル（.exe、.dll、.sysなどを含むWindows実行可能ファイル）に関する情報を含む、オープンで構造化されたデータセットです。 私のワークフローは次のとおりです： Windowsをインストールし、毎月Microsoftがセキュリティ更新プログラム（Patch...

ExportHider

ExportHider ExportHiderは、ファイルシステム上のDLLのエクスポートディレクトリからエクスポート関数を隠すためのコードスタブを含むC++ DLLテンプレートを生成します。関数定義を記述してファイルをコンパイルした後、CFF ExplorerのようなPEファイルビューアでは隠されたエクスポート関数は表示されません。ただし、テンプレート内のコードスタブは実行時にエクスポートディレクトリを再作成するため、正当なGetProcAddress呼び出しは正常に実行されます。この方法は、動的なDLLロードまたはカスタムDLLローダーの場合にのみ機能します。 動作の仕組み...

SSMA

SSMA SSMA は Python 3 で書かれたシンプルなマルウェア解析ツールです。 機能: PE ファイルのヘッダとセクションの解析（セクション数、セクション/PE ファイルのエントロピー、疑わしいセクション名、PE ファイル特性における疑わしいフラグなど） Linux マルウェア解析のための ELF ファイルの解析。各種オープンソースツール（ldd, readelf, strings）を使用して、ELF ヘッダ構造、ASCII/UNICODE 文字列、共有オブジェクト、セクションヘッダ、シンボルテーブルなどを表示します。...

iocx

IOCX モダンなセキュリティパイプラインのための決定論的でゼロリスクなIOC抽出 IOCX CLIを使用したPEファイルからの静的IOC抽出 公式IOCXプロジェクト これは決定論的な静的IOC抽出とPE分析のためのオリジナルのIOCXエンジンです。 「iocx」という名前を使用している他のリポジトリは、このプロジェクトとは提携していません 。 公式リンク: PyPI: https://pypi.org/project/iocx/ Github: https://github.com/iocx-dev/iocx Website: https://iocx.dev/ IOCXが重要な理由...

pecli

PEcli 用于分析 PE 文件的 Python 3 工具。当前功能： 显示文件信息（导入、导出、资源） 搜索文件中的有趣信息（异常资源、peid...） 转储节或资源 检查大小 在文件中搜索字符串 安装 你可以从 pypi 安装它：pip install pecli 或者直接从源代码安装： git clone https://github.com/Te-k/pecli.git cd pecli pip install . 使用方法 PEcli 通过插件工作，例如 pecli PLUGIN FILE usage: pecli -h...

HintInject

HintInject HintInject は、私が PE ファイルと Import Directory Table 構造をいじりながら開発したシェルコード埋め込み兼ローダーです。生のシェルコードファイルを受け取り、シェルコードをチャンクに分割して Hint/Name Table エントリ（ローダー実行ファイル上の偽のインポート DLL エントリの Import Lookup Table から到達可能）に配置します。その後、ローダーがこれらのチャンクをマージしてシェルコードを実行します。これが新しい手法かどうかはわかりませんが、面白いので共有したいと思います。 DLL ローディングプロセ...

InfectPE

このツールを使用すると、x-code/シェルコードをPEファイルに注入できます。 InjectPEは32ビットの実行可能ファイルでのみ動作します。 InjectPEが必要な理由 セキュリティ製品をテストできます。 フィッシングキャンペーンで使用できます。 PEインジェクションの仕組みを学習できます。 …などなど。 プロジェクトにはMessageBoxAのハードコードされたx-codeが含まれています。変更可能です。 ダウンロード Windows x86 バイナリ - デモ専用のハードコードされたMessageBoxA x-code。 依存関係: vcredist.x86 -...

PhaseDump

PhaseDump ========= W32/Phaseモジュールを復号するPythonツール。先頭16バイトは復号されたコードのMD5ハッシュで、残りは「Phase」をキーとしてRC4暗号化されたPEファイルです。...

AsmResolver

AsmResolver AsmResolver は、Portable Executable PE ファイルを読み取り、変更し、再構築するためのライブラリです。Windows 上でネイティブに動作する PE イメージと、マネージド .NET メタデータを含むイメージの両方をサポートしています。 AsmResolver は MIT ライセンスの下で公開されています。 主な機能 AsmResolver には多くの機能があります。以下はハイライトの一部を列挙したものです。 PE ファイルの作成、読み取り、変更、書き込み、パッチ適用。 セクション、データディレクトリ、およびその解釈への完全なアクセ...

pefile

pefile pefile は、Portable Executable PE ファイル を解析・操作するためのマルチプラットフォームな Python モジュールです。PE ファイルのヘッダーに含まれるほとんどの情報に加え、すべてのセクションの詳細やデータにアクセスできます。 Windows のヘッダーファイルで定義されている構造体は、PE インスタンスの属性としてアクセス可能になります。フィールドや属性の命名は、可能な限りそれらのヘッダーでの命名規則に従います。便宜上追加されたショートカットのみ、その規則から逸脱します。 pefile を使用するには、PE...

interactive-binary-structures

インタラクティブバイナリ構造 理論的なドキュメントとバイナリ形式やシステムメモリレイアウトの実践的な分析との間のギャップを埋めるために設計された、インタラクティブなWebベースのツールキット。 Portable Executable PE フォーマットドキュメント このツールは、Windows PEファイルの正確なバイト構造をインタラクティブなビジュアルマップとして提供し、ディスク上でのレイアウトと、ロード後にメモリにどのようにマッピングされるかを示します。マルウェアアナリスト、リバースエンジニア、サイバーセキュリティの学生のために特別に設計されています。...

pftriage

pftriage pftriage は、マルウェアトリアージ中にファイルを分析するためのツールです。アナリストはファイルのプロパティを迅速に表示・抽出し、トリアージプロセスを支援できます。また、マルウェアが使用する一般的な悪意のある指標を検出する分析機能も備えています。 依存関係 pefile file-magic オプション ssdeep オプション 注意: Mac の場合、Apple は独自の file コマンドを実装しています。しかし、libmagic は homebrew を使用してインストールできます。 $ brew install libmagic 使用方法 usage:...

MalScan

MalScan MalScan は、Python で書かれたシンプルな PE ファイルヒューリスティックスキャナーです。PE ファイルをすばやく分析し、疑わしいものが存在するかどうかを調べるために使用できます。シンプルなツールなので、派手な機能はあまりありません。自由に拡張したり、好きなように使用したりできます。 サポートされている項目 MD5、SHA1、タイムスタンプなどのファイル情報 PEiD 署名チェック カスタム Yara ルールの統合 セクション、インポート、エクスポート、リソース、TLS コールバックの概要 カスタムヒューリスティックをいくつか提供します :- インストール...

SigFlip

これは何ですか？ SigFlip は、オーセンティコード署名付き PE ファイル exe、dll、sys など を、既存のオーセンティコード署名に影響を与えたり壊したりしない方法でパッチ適用するためのツールです。言い換えれば、ファイルの署名、整合性チェック、または PE ファイルの機能を壊すことなく、データ シェルコードなど を埋め込むことで PE ファイルのチェックサムやハッシュを変更できます。 SigInject は、シェルコードを暗号化して PE ファイルの WINCERTIFICATE 証明書テーブルに注入します。暗号化キーは、基本的な BOF/C/C ローダー SigLoade...

PELoader

PELoader PELoaderは、様々なシェルコードインジェクション技術を実装し、libpeconvライブラリを使用して、リモートスレッドにシェルコードを注入する代わりに、暗号化されたPEファイルをロードします。 以下の技術が実装されています: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX...

CentOS Linux 6 [TuxCare] Security Update: binutils / binutils-devel Multiple Vulnerabilities (CENTOS6:CLSA-2026:1775148022)

The CentOS Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the TuxCare CENTOS6:CLSA-2026:1775148022 advisory. - A buffer overflow vulnerability in function gnuspecial in file cplus-dem.c in BinUtils 2.26 allows attackers to cause a denial of...

py_certificate_extractor

pycertificateextractor デジタル署名ファイルから証明書情報を抽出する必要がある場合があります。 そのような場合にこのツールを使用すると、簡単に完了できます。 必要な変更や追加機能があればお知らせください。 機能 デジタル署名ファイルから証明書情報を抽出し、証明書をエクスポート（保存）します。以上です。 v1.0.0 https://github.com/password123456/digitalsignedpefilecertificateextractor/blob/main/Changes プレビュー...

cve-2021-40444

cve-2021-40444 「A Letter Before Court 4.docx」という悪意のあるファイルをリバースエンジニアリングし、cve-2021-40444 を悪用する 悪意のある Word ファイルおよび cab ファイルを含むファイルは、any.run からダウンロードできます: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/ 注意！ 元の悪意のあるコード内のドメイン名は、悪意のあるコードの実行ミスを防ぐため 127.0.0.1:8000 に置き換えられています 。 独自の...

radare2-scripts

radare2 脚本 概述 一组用于 radare2 的脚本集合。 r2bincarver.py - 用于从内存转储中雕刻文件的脚本。 r2hashfuncdecoder.py - 用于解码哈希函数的脚本，常见于 shellcode 中。 脚本 二进制文件雕刻器 该脚本可根据给定的偏移量和大小，从内存转储（MDMP）中雕刻文件。 除了雕刻功能外，它还支持对雕刻出的 PE 文件进行基本修补。 在编写本文时，它将修补 PE 节头中的偏移量。 依赖要求 pip install r2pipe 使用默认参数的示例输出： 示例 $ python2 ./r2bincarver.py...

ExportDumper

ExportDumper 一个我编写的小工具，用于转储 PE 文件的导出表。其主要用途是用于 DLL 代理（DLL proxying）场景。 用法 .\ExportDump dllpath 例如： .\ExportDump C:\Windows\System32\version.dll Dumping all 17 exported functions from C:\windows\system32\version.dll. + Dumping done. Check pragma.h 将 pragma.h...