windiff

WinDiff 概要 WinDiff は、Microsoft Windows バイナリのシンボル、型、システムコール情報を OS の異なるバージョン間で参照・比較できる、オープンソースの Web ベースツールです。バイナリデータベースは自動的に更新され、最新の Windows アップデート（Insider Preview を含む）の情報が反映されます。 ntdiff に触発され、Winbindex の助けを借りて実現しました。 スクリーンショット 仕組み WinDiff は、Rust で書かれた CLI ツールと、Next.js フレームワークを用いた TypeScript で書かれた...

Astra Linux – Vulnerability found in Linux 6.1, Linux 5.10, and Linux 5.15

In the Linux kernel, the following vulnerability has been resolved: ipvs: Properly dereferencing pe in ipvsaddservice. Use pe directly to resolve the sparse warning: net/netfilter/ipvs/ipvsctl.c:1471:27: warning: dereference of noderef expression...

ft9201-libfprint

ft9201-libfprint Linux 指纹识别支持，适用于 Focal-systems FT9201 USB 读卡器（2808:93a9，作为独立 Windows Hello 加密狗销售），作为 libfprint 的驱动程序。 该传感器是一个微型的 96×96 光学读卡器。libfprint 内置的匹配器在如此小的图像上表现不佳，因此该驱动程序转而复用 FocalTech 自己的匹配引擎 ——其签名 Windows 驱动程序中的 ftWbioEngineAdapter.dll——在 Linux 上通过一个轻量的进程内 PE 加载器原生运行。无需 Wine、无需...

CallObfuscator

CallObfuscator 静的/動的解析ツールからPEインポートを難読化（隠蔽）します。 理論 これは非常に単純です。例えば、VirtualProtect を使用していて、それを Sleep で難読化したいとします。ツールはIATを操作して、VirtualProtect を指すサンクが代わりに Sleep を指すようにします。ファイルの実行時に、Windowsローダーは VirtualProtect の代わりに Sleep をロードし、実行をエントリポイントに移します。そこから実行はシェルコードにリダイレクトされ、ツールが事前に配置したシェルコードが VirtualProtect...

KsDumper

🔴 此仓库因 Capcom 驱动程序已被修补而过时 🔴 感谢 mastercodeon314 ，现已提供可在 Windows 11 上运行的移植版本。尽情享用！ https://github.com/mastercodeon314/KsDumper-11 KsDumper 我一直对逆向工程很感兴趣。几天前，我想出于娱乐目的查看一些游戏内部结构，但发现游戏被加壳并由 EAC（EasyAntiCheat）保护。这意味着它的句柄被剥离，我无法从 Ring3 转储该进程。我决定尝试编写一个自定义驱动程序，以便能够在不使用 OpenProcess 的情况下复制进程内存。我对 Windows 内核、...

RpcInvestigator

RPC Investigator 私たちのブログ記事のアナウンスをお読みください。 RPC Investigator RPCI は、Windows RPC エンドポイントに対する高度な発見および分析インターフェースを提供する .NET/C Windows Forms UI アプリケーションです。このツールは、NtApiDotNet プラットフォームの既存のコア RPC 機能を視覚的に操作できるインターフェースを提供します。以下を含みます： アクティブなすべての ALPC RPC サーバーの列挙 任意の PE ファイルからの RPC サーバーの解析...

HintInject

HintInject HintInject は、私が PE ファイルと Import Directory Table 構造をいじりながら開発したシェルコード埋め込み兼ローダーです。生のシェルコードファイルを受け取り、シェルコードをチャンクに分割して Hint/Name Table エントリ（ローダー実行ファイル上の偽のインポート DLL エントリの Import Lookup Table から到達可能）に配置します。その後、ローダーがこれらのチャンクをマージしてシェルコードを実行します。これが新しい手法かどうかはわかりませんが、面白いので共有したいと思います。 DLL ローディングプロセ...

iocx

IOCX Deterministic, Zero‑Risk IOC Extraction for Modern Security Pipelines Static IOC extraction from a PE file using the IOCX CLI Official IOCX Project This is the original IOCX engine for deterministic static IOC extraction and PE analysis. Any other repositories using the name "iocx" are not...

iocx

IOCX Deterministic, Zero‑Risk IOC Extraction for Modern Security Pipelines Static IOC extraction from a PE file using the IOCX CLI Official IOCX Project This is the original IOCX engine for deterministic static IOC extraction and PE analysis. Any other repositories using the name "iocx" are not...

Sojobo

Sojobo - バイナリ解析フレームワーク Sojobo は B2R2 フレームワーク用のエミュレータです。悪意のある可能性のあるファイルの解析を容易にするために作成されました。完全に .NET で開発されているため、他の外部ライブラリをインストールしたりコンパイルしたりする必要はありません（プロジェクトは自己完結しています）。 Sojobo を使用すると、次のことができます: 32ビット PE バイナリのエミュレート エミュレートされたプロセスのメモリの検査 プロセス状態の読み取り 実行されたコードの逆アセンブリの表示 マネージ言語 C || F での関数のエミュレート Sojobo...

nocturne

nocturne Nombrado en honor a uno de mis juegos favoritos, "nocturne" es un virtualizador de código PE x86-64 bin2bin y un reescritor de binarios. Características Puente de Llamada Nativo 30+ Manejadores de VM Ofuscación de código basura incorporada Estado de VM por invocación seguro para hilos Us...

unicorn_pe

Unicorn PE Unicorn PE 是一个基于 unicorn 的插桩项目/框架，旨在模拟 Windows PE 文件的代码执行，尤其是加壳的 PE 文件。 该项目已归档，不再维护。推荐使用 sogen 作为替代方案。 功能 从模拟内存中将 PE 镜像转储到文件，修复导入表，解密 VMProtect 字符串，解密 VMProtect 导入。 对异常的部分支持。（仅 DB 和 BP） 显示所有正在执行的指令的反汇编。 将 BlackBone 更新到最新版本（2020.4.5）。 TODO 功能：x86（低优先级）-- 0% 构建 Visual Studio 2017 或 2019 ...

pe2pic

简体中文 || English pe2pic 用于PE文件的小型可视化工具 入门指南 通过以下方式安装依赖项: root@kitploit: pip install -r requirements.txt 用法 root@kitploit: usage: pe2pic.py -h --infile INFILE --outfile OUTFILE --double --minheight MINHEIGHT PE可视化工具 可选项: -h, --help 显示帮助消息并退出 --infile INFILE 输入文件 --outfile OUTFILE 输出文件 --double...

radare2-scripts

radare2 脚本 概述 一组用于 radare2 的脚本集合。 r2bincarver.py - 用于从内存转储中雕刻文件的脚本。 r2hashfuncdecoder.py - 用于解码哈希函数的脚本，常见于 shellcode 中。 脚本 二进制文件雕刻器 该脚本可根据给定的偏移量和大小，从内存转储（MDMP）中雕刻文件。 除了雕刻功能外，它还支持对雕刻出的 PE 文件进行基本修补。 在编写本文时，它将修补 PE 节头中的偏移量。 依赖要求 root@kitploit: pip install r2pipe 使用默认参数的示例输出： 示例 root@kitploit: $...

ReflectiveDLLInjection

关于 反射式DLL注入是一种库注入技术，它利用反射式编程的概念，将库从内存加载到宿主进程中。因此，该库通过实现一个最小的可移植可执行文件（PE）加载器来负责自身的加载。它可以在与宿主系统和进程进行最小交互的情况下，控制自身如何加载以及与宿主交互。 该注入技术适用于从Windows NT4到Windows 8（含）的系统，并在适用的x86、x64和ARM架构上运行。 概述 将库远程注入进程的过程分为两步。首先，您希望注入的库必须被写入目标进程（下文称为宿主进程）的地址空间。其次，该库必须以满足其运行时预期的方式加载到宿主进程中，例如解析其导入表或将其重定位到内存中的合适位置。...

HeaderLessPE

HeaderLessPE はじめに 中国語 HeaderLessPEは、Icedidトロイの木馬で使用されるメモリPEローディング技術です。この技術に基づき、HVNCを使用したファイルレス攻撃の新しい方法を提案します。この拡張により、HeaderLessPEをグラフィカルなハッキングツールに制限なくインジェクトして実行できるようになります。 MemDllのような他のインメモリローディング技術と比較して、拡張されたHeaderLessPEには2つの利点があります： 従来のDOSヘッダーとPEヘッダーのIOCを回避 DOSヘッダーとPEヘッダーはメモリスキャンの焦点となることが多く、Coba...

WDExtract

WDExtract 从vdm文件中提取Windows Defender数据库并解包 本程序按原样分发，不提供任何担保； 无官方支持，如果你喜欢该工具，欢迎贡献。 功能 解包Windows Defender/Microsoft Security Essentials的VDM容器； 解密恶意软件删除工具（MRT.exe）中嵌入的VDM容器； 在不解包的情况下提取原始RMDX容器（-ec开关）； 将基础VDM文件与delta文件合并（-m开关）； 从解包/解密/合并后的容器中即时提取所有PE映像（-e开关）： 转储VDLL（虚拟DLL）； 转储VFS（虚拟文件系统）内容； 转储签名辅助映像；...

PESTO

PESTO: PE（ファイル）統計ツール 説明 PESTOは、ディレクトリ全体のすべてのPEバイナリを検索し、PEファイルのセキュリティ特性やフラグを抽出してデータベースに保存するPythonスクリプトです。 ヘッダー内のアーキテクチャフラグと、ASLR、NOSEH、DEP、CFGのセキュリティフラグをチェックします。 コードは、必要に応じてフラグや形式を変更できるほど十分明確です。 詳細とフラグの説明はこちら：...

Manalyze

Manalyze 简介 Manalyze 是一款针对 PE 文件的静态分析工具，可用于对可执行文件（或一组可执行文件）进行初步评估。它收集可能指示恶意行为的微弱信号，并显示有助于后续手动分析的信息。 如果您想查看该工具生成的示例报告，请随意试用我为其创建的网络服务：manalyzer.org。 目录 PE文件的静态分析器 如何构建 生成ClamAV规则 使用 使用Manalyze的用户 联系方式 PE文件的静态分析器 Manalyze 使用 C++ 编写，支持 Windows 和 Linux，并根据 GPLv3 许可证 发布。它是一款健壮的 PE...

PELoader

PELoader PELoader 实现了多种 shellcode 注入技术，并使用 libpeconv 库来加载加密的 PE 文件，而不是将 shellcode 注入到远程线程中。 实现了以下技术： Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowing PoC Ghostly Hollowing PoC Herpaderply HollowingPoC NtMapViewOfSection RWX-RW-RX NtAllocateVirtualMemory RW-R...