CVE-2013-3900-PowerShell-PoC

CVE-2013-3900-PowerShell-PoC 本PoC仅用于教育和研究目的。 作者不对因使用此代码而导致的滥用或损害承担任何责任。 此PowerShell脚本是一个用于模拟CVE-2013-3900所描述攻击的测试工具。 CVE-2013-3900涉及Windows中的Authenticode机制，其中PE签名（EXE/DLL文件）可能在证书部分包含额外数据（填充）。在旧版或默认的Windows设置中，此类修改不会使签名失效，从而允许在文件中添加恶意代码，同时保留其“已签名”状态。...

process_overwriting

Process Overwriting Process Overwriting is a PE injection technique, closely related to Process Hollowing and Module Overloading. With its help, you can replace the main executable not a DLL of the target process. It works only for a newly created process - injection to existing processes is not...

process_overwriting

プロセス上書き Process Overwriting は、Process Hollowing や Module Overloading に密接に関連する PE インジェクション手法です。 この手法を使用すると、対象プロセスのメイン実行可能ファイル（DLL 以外）を置き換えることができます。 これは新しく作成されたプロセスに対してのみ機能し、既存のプロセスへのインジェクションはこの手法ではサポートされていません。 警告: ターゲットイメージのサイズは、ペイロードイメージのサイズよりも小さくてはなりません 。 実行手順: 1. 良性ファイルから（CFG...

bad-dicom

Bad-DICOM 私が手作りしたCVE-2019-11687のエクスプロイトツールのPoC。 このPEDICOMは、大学のキャップストーン「 DICOMファイルの脆弱性に基づく、医療管理サービスに対する攻撃の検出と防止 」の概念実証として作成しました。 PEDICOMとは DoomDicom.dcmはPEDICOMであり、機能的なPEとしても、同時に正当なDICOMとしても動作可能なポリグロットファイルです。このファイルの詳細については、d00rtの原著論文をお読みください。 使い方 このファイルは主に2つの方法で開けます。 1. DCMとして: DicomViewer や...

PE-Linux

PE-Linux 新しいLinux権限昇格ツール はじめに システム情報収集 カーネル情報収集 システム上の開発環境の確認（制限シェルのエスケープ） PATHおよび環境情報の抽出 カーネルがDirty Cow脆弱性の影響を受けるか確認 パスワード収集 興味深い情報のログ解析 パスワードポリシーの確認 データベースパスワード収集 RootでのSSH接続が許可されているか確認 興味深いRoot、Home、Varディレクトリのファイル確認 RSA鍵の収集 コマンド履歴解析 ユーザー列挙（Root - Sudo - UIDリスト - GIDリスト） Cronジョブ列挙（権限 - 所有Cron -...

PhaseDump

PhaseDump ========= W32/Phaseモジュールを復号するPythonツール。先頭16バイトは復号されたコードのMD5ハッシュで、残りは「Phase」をキーとしてRC4暗号化されたPEファイルです。...

HeaderLessPE

HeaderLessPE はじめに 中国語 HeaderLessPEは、Icedidトロイの木馬で使用されるメモリPEローディング技術です。この技術に基づき、HVNCを使用したファイルレス攻撃の新しい方法を提案します。この拡張により、HeaderLessPEをグラフィカルなハッキングツールに制限なくインジェクトして実行できるようになります。 MemDllのような他のインメモリローディング技術と比較して、拡張されたHeaderLessPEには2つの利点があります： 従来のDOSヘッダーとPEヘッダーのIOCを回避 DOSヘッダーとPEヘッダーはメモリスキャンの焦点となることが多く、Coba...

PEzor-Docker

PEzor-Docker このKali Linuxイメージを使えば、システム上で簡単にPEzorにアクセスできます！ 基本的に、このイメージはkalilinux/kali-rollingイメージから構築され、その上にPEzorのシェルコードとPEパッカーがインストールされています。PEzorへのアクセスは特にポストエクスプロイトフェーズで重要ですが、必要な依存関係のためにホストやVMにインストールするのは時間がかかります。とはいえ、このDockerイメージはこの問題を解決し、PEzorに迅速にアクセスする方法を提供するために作成されました。 追記:...

pftriage

pftriage pftriage は、マルウェアトリアージ中にファイルを分析するためのツールです。アナリストはファイルのプロパティを迅速に表示・抽出し、トリアージプロセスを支援できます。また、マルウェアが使用する一般的な悪意のある指標を検出する分析機能も備えています。 依存関係 pefile file-magic オプション ssdeep オプション 注意: Mac の場合、Apple は独自の file コマンドを実装しています。しかし、libmagic は homebrew を使用してインストールできます。 root@kitploit: $ brew install libmagi...

KsDumper

🔴 このリポジトリはCapcomドライバーがパッチされたため古くなっています 🔴 mastercodeon314 のおかげで、Windows 11で動作するポートができました。お楽しみください！ https://github.com/mastercodeon314/KsDumper-11 KsDumper 私は常にリバースエンジニアリングに興味を持っていました。数日前、趣味でゲームの内部を調べたいと思いましたが、そのゲームはパックされており、EAC EasyAntiCheat...

CallObfuscator

CallObfuscator 混淆（隐藏）PE导入，使其不被静态/动态分析工具检测到。 原理 这相当直接，假设我使用了VirtualProtect，并想用Sleep来混淆它，该工具会操纵IAT，使得指向VirtualProtect的thunk转而指向Sleep，这样在文件执行时，Windows加载程序会加载Sleep而不是VirtualProtect，并将执行权转移到入口点，从那里执行将被重定向到工具之前放置的shellcode，以找到VirtualProtect的地址，并用它替换之前由加载程序分配的Sleep的地址。 使用方法...

SSMA

SSMA SSMA は Python 3 で書かれたシンプルなマルウェア解析ツールです。 機能: PE ファイルのヘッダとセクションの解析（セクション数、セクション/PE ファイルのエントロピー、疑わしいセクション名、PE ファイル特性における疑わしいフラグなど） Linux マルウェア解析のための ELF ファイルの解析。各種オープンソースツール（ldd, readelf, strings）を使用して、ELF ヘッダ構造、ASCII/UNICODE 文字列、共有オブジェクト、セクションヘッダ、シンボルテーブルなどを表示します。...

file-unpumper

file-unpumper file-unpumper は、ポータブル実行可能（PE）ファイルをクリーンアップおよび分析するために設計された強力なコマンドラインユーティリティです。このツールは、開発者やセキュリティ専門家がPEファイルをより効果的に扱えるようにするためのさまざまな機能を提供します。 機能 PEヘッダ修正 : file-unpumper は、指定された実行可能ファイルのPEヘッダを修正および整列できます。これは、パッカーや難読化ツールがヘッダを変更した際に発生する問題を解決するのに特に役立ちます。 リソース抽出 :...

unicorn_pe

Unicorn PE Unicorn PE 是一个基于 unicorn 的插桩项目/框架，旨在模拟 Windows PE 文件的代码执行，尤其是加壳的 PE 文件。 该项目已归档，不再维护。推荐使用 sogen 作为替代方案。 功能 从模拟内存中将 PE 镜像转储到文件，修复导入表，解密 VMProtect 字符串，解密 VMProtect 导入。 对异常的部分支持。（仅 DB 和 BP） 显示所有正在执行的指令的反汇编。 将 BlackBone 更新到最新版本（2020.4.5）。 TODO 功能：x86（低优先级）-- 0% 构建 Visual Studio 2017 或 2019 ...

radare2-scripts

radare2 脚本 概述 一组用于 radare2 的脚本集合。 r2bincarver.py - 用于从内存转储中雕刻文件的脚本。 r2hashfuncdecoder.py - 用于解码哈希函数的脚本，常见于 shellcode 中。 脚本 二进制文件雕刻器 该脚本可根据给定的偏移量和大小，从内存转储（MDMP）中雕刻文件。 除了雕刻功能外，它还支持对雕刻出的 PE 文件进行基本修补。 在编写本文时，它将修补 PE 节头中的偏移量。 依赖要求 root@kitploit: pip install r2pipe 使用默认参数的示例输出： 示例 root@kitploit: $...

plasma

PLASMA El nombre anterior del proyecto era Reverse. PLASMA es un desensamblador interactivo. Puede generar un ensamblado más legible código seudo con sintaxis coloreada. Puede escribir scripts con la API disponible de Python vea un ejemplo más abajo. El proyecto aún está en gran desarrollo. wiki ...

Nim-RunPE

Nim-RunPE メモリからのリフレクティブPEローディングのNim実装です。このコードのベースはRunPE-In-Memoryから取られており、それをNimに移植しました。 以下の依存関係をインストールする必要があります。 nimble install ptrmath winim このテストはNim Version 1.6.2でのみ行いました。そのため、テストにはそのバージョンを使用してください。他のバージョンを使用した場合のエラーは保証できません。 コンパイル 実行時に引数を渡したい場合、または引数を渡さない場合は、次のようにコンパイルします。 nim c NimRunPE.nim...

py_certificate_extractor

pycertificateextractor デジタル署名ファイルから証明書情報を抽出する必要がある場合があります。 そのような場合にこのツールを使用すると、簡単に完了できます。 必要な変更や追加機能があればお知らせください。 機能 デジタル署名ファイルから証明書情報を抽出し、証明書をエクスポート（保存）します。以上です。 v1.0.0 https://github.com/password123456/digitalsignedpefilecertificateextractor/blob/main/Changes プレビュー...

PESTO

PESTO：PE（文件）统计工具 描述 PESTO 是一个 Python 脚本，用于提取 PE 文件的某些安全特征或标志，并将其保存到数据库中。它会搜索整个目录中的每个 PE 二进制文件，并将结果存入数据库。 它检查头文件中的架构标志，以及以下安全标志：ASLR、NOSEH、DEP 和 CFG。代码足够清晰，您可以根据需要修改标志和格式。 更多详情和标志说明请参见： https://www.slideshare.net/elevenpaths/anlisis-del-nivel-proteccin-antiexploit-en-windows-10 功能...

cve-2021-40444

cve-2021-40444 「A Letter Before Court 4.docx」という悪意のあるファイルをリバースエンジニアリングし、cve-2021-40444 を悪用する 悪意のある Word ファイルおよび cab ファイルを含むファイルは、any.run からダウンロードできます: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/ 注意！ 元の悪意のあるコード内のドメイン名は、悪意のあるコードの実行ミスを防ぐため 127.0.0.1:8000 に置き換えられています 。 独自の...