zig-pe

zig-pe 用Zig编写的反射式PE加载器。直接从内存加载并执行原生和.NET PE文件。 特性 PE加载流水线 解析DOS和NT头（运行时支持PE32和PE32+） 将节映射到分配的内存 解析导入（按名称和序号，PE32 4字节/PE32+ 8字节跳转表） 应用基址重定位（HIGHLOW, DIR64, ARMMOV32, THUMBMOV32） 解析延迟导入（DataDirectory13，现代RVA格式） 注册异常处理程序（仅x64/ARM64的RtlAddFunctionTable） 设置每节的内存保护 调用TLS回调（DLLPROCESSATTACH）...

dotNetPELoader

dotNetPELoader 安全通知 最近，我发现该项目的非官方修改版本正在本仓库之外被重新分发。 在审查文件后，我发现了额外的隐藏组件和脚本加载行为，这些在官方源代码中并不 存在。 请注意： 非官方分发版本包含额外的可执行文件和脚本加载元素，这些不 是原始源代码的一部分。 该项目的官方发布版本仅在本仓库 中发布。 官方发布版本不 包含额外的批处理文件、隐藏加载器或嵌入的脚本组件。 我与任何第三方对该项目的重新分发无关。 出于安全考虑： 如果您遇到包含意外可执行文件或加载器的重新打包版本，请不要运行它们。 仅从本仓库直接下载发布版本。 尽可能在构建之前审查源代码。 PoC...

amber

介绍 Amber 是一个位置无关（反射式）PE 加载器，能够实现原生 PE 文件（EXE、DLL、SYS……）的内存中执行。它支持隐蔽的内存内载荷部署，可用于绕过防病毒、防火墙、IDS、IPS 产品以及应用程序白名单缓解措施。Amber 生成的反射式载荷既可以从远程服务器分阶段传输，也可以像通用 shellcode 一样直接在内存中执行。默认情况下，每个生成的载荷都使用新一代 SGN 编码器 进行编码。Amber 使用 CRC32API 和 IATAPI 来隐秘地解析 Windows API 函数地址。PE 文件在内存中加载并执行后，反射式载荷会被擦除以躲避内存扫描器。 安装...

Huan

Huan Huan 是我为了学习 PE 文件结构和 PE 加载过程而开发的一款加密 PE 加载器生成器。它每次使用不同的密钥对要运行的 PE 文件进行加密，并将其嵌入加载器二进制文件的新节中。目前，它适用于 64 位 PE 文件。 工作原理？ 首先，Huan 读取给定的 PE 文件，并使用 CBC 模式 AES-128 加密算法对其进行加密。加密方面，我使用了 Tiny AES in C，并为该库的需求准备了填充代码。加密完成后，它使用 Visual Studio 编译器（MsBuild.exe）编译加载器，生成可执行文件。之后，它在该可执行文件上创建一个节（名为...

libpeconv

libPeConv 用于加载和操作 PE 文件的库。 目标 libPEConv 的目标是创建一个用于自定义加载 PE 文件的“瑞士军刀”。它汇集了各种辅助函数，您可以快速将它们集成到自己的加载器中。例如：重新映射节区、应用重定位、加载导入、解析资源。 它不仅允许加载 PE 文件，还允许自定义某些步骤，例如 IAT 挂钩（通过提供自定义 IAT 解析器）和函数重定向。但是，它并不专注于内联挂钩，不应与 MS Detours 或 MinHook 等库混淆。 LibPeConv 可用于创建 PE 绑定器，因为它允许直接从资源中加载 PE，并将其当作本地代码一样集成。...

ft9201-libfprint

ft9201-libfprint Soporte de huellas dactilares en Linux para el lector USB Focal-systems FT9201 2808:93a9, vendido como un dongle independiente de Windows Hello, como un controlador de libfprint. El sensor es un diminuto lector óptico de 96×96. El comparador incorporado de libfprint funciona mal...

sRDI

sRDI - Shellcode 反射式DLL注入 sRDI 允许将 DLL 文件转换为位置无关的 shellcode。它试图成为一个功能完整的 PE 加载器，支持正确的节权限、TLS 回调和完整性检查。可以将其视为一个绑定了打包 DLL 的 shellcode PE 加载器。 功能通过两个组件实现： C 项目，编译 PE 加载器实现（RDI）为 shellcode 转换代码，将 DLL、RDI 和用户数据通过引导程序连接在一起 本项目包含以下元素： ShellcodeRDI： 编译 DLL 加载器的 shellcode NativeLoader： 必要时将 DLL 转换为...

ReflectiveDLLInjection

Acerca de La inyección de DLL reflectante es una técnica de inyección de bibliotecas en la que se emplea el concepto de programación reflectante para realizar la carga de una biblioteca desde memoria en un proceso anfitrión. Como tal, la biblioteca es responsable de cargarse a sí misma...

CVE-2026-79298

🐞 CVE-2026-79298: Remediación Incompleta del Bypass de UEFI Secure Boot en Howyar SysReturn Se parcheó una vulnerabilidad. Se revocó un binario. Pero solo se corrigió la mitad de la arquitectura. Dieciocho meses después, la ruta de arranque IA-32 seguía llevando el mismo cargador PE personalizado...

EUVD-2026-29347

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963 barebox EFI PE Loader Memory Safety Vulnerabilities

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

CVE-2026-34963 barebox EFI PE Loader Memory Safety Vulnerabilities

barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section...

PT-2026-39869

Name of the Vulnerable Software and Affected Versions barebox versions prior to 2026.04.0 Description Multiple memory-safety issues exist in the EFI PE loader within the efi/loader/pe.c file. An integer overflow occurs during virtual image size computation when using 32-bit arithmetic on section...

Barebox 输入验证错误漏洞

Barebox is a versatile and flexible bootloader developed by Barebox Open Source. Versions of barebox prior to 2026.04.0 contained a vulnerability related to input validation errors. This vulnerability stemmed from integer overflows and unvalidated boundaries within the EFI PE loader, which could...

Exploit for Time-of-check Time-of-use (TOCTOU) Race Condition in Microsoft

Collateral Damage Collateral Damage is a kernel exploit for Xb...

Huan - Encrypted PE Loader Generator

Huan is an encrypted PE Loader Generator that I developed for learning PE file structure and PE loading processes. It encrypts the PE file to be run with different keys each time and embeds it in a new section of the loader binary. Currently, it works on 64 bit PE files. How It Works? First, Huan...

Cooolis-ms - A Server That Supports The Metasploit Framework RPC

Cooolis-ms is a server that supports Metasploit Framework RPC. It is used to work for Shellcode and PE loader, bypassing the static detection of anti-virus software to a certain extent, and allows the Cooolis-ms server to perform with the Metasploit server separate. Loader execution process: 1...

Windows Inject Reflective PE Files, Windows x64 IPv6 Bind TCP Stager

Inject a custom native PE file into the exploited process using a reflective PE loader. The reflective PE loader will execute the pre-mapped PE image starting from the address of entry after performing image base relocation and API address resolution. This module requires a PE file that contains...

Windows Inject Reflective PE Files, Reverse TCP Stager with UUID Support (Windows x64)

Inject a custom native PE file into the exploited process using a reflective PE loader. The reflective PE loader will execute the pre-mapped PE image starting from the address of entry after performing image base relocation and API address resolution. This module requires a PE file that contains...