MaldevAcademyLdr.2

MaldevAcademyLdr.2：具备多种规避技术的 RunPE 实现 快速链接 Maldev Academy 主页 Maldev Academy 课程大纲 Maldev Academy 定价 !NOTE 尽管此仓库可用于执行其他二进制文件，但全部重点 在于运行 mimikatz.exe 可执行文件。 这是为了演示和测试目的，因为 mimikatz.exe 是一款众所周知的后期渗透工具。 最显著的功能 隐写术： 使用离散小波变换 DWT 结合量化索引调制 QIM 与纠错码 ECC，将 PE 载荷隐藏于 PNG/JPG/JPEG/BMP/GIF 文件中。值得注意的是，PE...

Fix-WinVerifyTrustSignatureValidationVuln

修复WinVerifyTrust签名验证漏洞 修复WinVerifyTrust签名验证漏洞，CVE-2013-39001，QID-3783322 此修复适用于64位Windows计算机 此PowerShell代码是修复该漏洞的一种方式——除了创建.reg文件并使用reg import 导入新注册表项之外。 完整打包脚本： 如果 HKLM:\Software\Microsoft\Cryptography\Wintrust\Config 路径不存在，则创建路径和项。 如果找到该注册表项，则显示该项的结果——不做任何操作等。 预期的新的注册表项类型为：REGSZ 以下内容摘自MSRC -...

Remediating-CVE-2013-3900-EnableCertPaddingCheck-

Informe de Remediación: CVE-2013-3900 en Windows Server 2019 VM de Azure Remediación de CVE-2013-3900 EnableCertPaddingCheck Durante un escaneo de vulnerabilidades autenticado con Tenable/Nessus, identifiqué CVE-2013-3900 en mi instancia de Windows Server 2019 Datacenter alojada en Microsoft Azur...

zeek-xor-exe-plugin

Corelight::PEXOR Zeek 插件，用于检测并解密经过 XOR 混淆的 Windows EXE。 用于对文件进行 XOR 的密钥会被自动发现，并被用于将文件还原为原始的 Windows 可执行文件。文件去混淆后，会被传回文件分析框架进行进一步分析。 安装 从源码安装 .. code:: bash git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install 现在确认 Zeek 可以识别它： .. code:...

Clematis

Clematis 中文 | English 🛠️ Una potente herramienta para convertir archivos PE EXE/DLL en shellcode independiente de la posición. ✨ Características principales Soporte para convertir archivos PE EXE/DLL a shellcode Compatible con arquitecturas x86 y x64 Soporte de argumentos de línea de comandos...

CVE-2024-7344

🐞 CVE-2024-7344：不正确的 PE 镜像加载 本仓库包含与 CVE-2024-7344 相关的研究材料，这是一个影响 UEFI 系统的 Secure Boot 绕过漏洞。它集中整理了该漏洞的技术分析、攻击流程文档，以及为在受控环境中复现该漏洞行为而重新创建的应用。本仓库还包含文档和研究资源，旨在帮助安全研究人员理解、研究并实验与该漏洞相关的技术。 📑 目录 原始发现与官方参考 受影响的可执行文件（真实世界 / 教育用途） 漏洞概述（分析与利用） 📂 Secure Boot 与 Microsoft 证书 发现与侦察 根本原因分析 利用过程 受影响的软件 🧠 原始发现与官方参考...

peafl64

概述 peafl64 是一款用于 Windows 中 x64 PE 的静态插桩工具。 静态插桩是指编辑可执行文件并在其中特定位置添加代码的做法。 该插桩会在二进制文件的每个基本块开头添加代码，以 AFL 兼容的方式记录执行流程。 它使我们能够在无需访问源代码的情况下，对用户模式（使用 WinAFL）和内核模式（使用 kAFL）下的二进制文件进行模糊测试。 还有其他模糊测试 Windows 二进制文件的方法；在本项目中，我们选择专注于静态插桩，因为它是最快的方法。 本项目基于 wmliang 的 pe-afl 工具构建，并增加了 x64 支持。 功能特性 完整支持 Windows x64...

ManualRsrcDataFetching

ManualRsrcDataFetching：一个用于替代 FindResource & LoadResource & LockResource & SizeofResource Windows API 的函数。 注意：Payload.ico 是一个 x64 calc shellcode...

Icedid-file-decryptor

IcedID 解密器 用于静态解密与 IcedID 感染相关的 license.dat 文件的脚本。 该脚本还可解密已脱壳 IcedID 样本中的 .data 节。 说明： 脚本会自动检测输入的是 PE 文件还是 license.dat 文件。 如果提供的是 PE，脚本会假定该文件已先行脱壳。 如果解密成功，原始转储将写入 output.bin 同时，将执行快速字符串搜索，并将检测到的字符串写入文件。 如果提供的是已脱壳的 PE，C2 地址将显示在屏幕上。 license.dat 文件示例...

CVE-2013-3900-PowerShell-PoC

CVE-2013-3900-PowerShell-PoC 本PoC仅用于教育和研究目的。 作者不对因使用此代码而导致的滥用或损害承担任何责任。 此PowerShell脚本是一个用于模拟CVE-2013-3900所描述攻击的测试工具。 CVE-2013-3900涉及Windows中的Authenticode机制，其中PE签名（EXE/DLL文件）可能在证书部分包含额外数据（填充）。在旧版或默认的Windows设置中，此类修改不会使签名失效，从而允许在文件中添加恶意代码，同时保留其“已签名”状态。...

unicorn_pe

Unicorn PE Unicorn PE 是一个基于 unicorn 的插桩项目/框架，旨在模拟 Windows PE 文件的代码执行，尤其是加壳的 PE 文件。 该项目已归档，不再维护。推荐使用 sogen 作为替代方案。 功能 从模拟内存中将 PE 镜像转储到文件，修复导入表，解密 VMProtect 字符串，解密 VMProtect 导入。 对异常的部分支持。（仅 DB 和 BP） 显示所有正在执行的指令的反汇编。 将 BlackBone 更新到最新版本（2020.4.5）。 TODO 功能：x86（低优先级）-- 0% 构建 Visual Studio 2017 或 2019 ...

radare2-scripts

radare2 脚本 概述 一组用于 radare2 的脚本集合。 r2bincarver.py - 用于从内存转储中雕刻文件的脚本。 r2hashfuncdecoder.py - 用于解码哈希函数的脚本，常见于 shellcode 中。 脚本 二进制文件雕刻器 该脚本可根据给定的偏移量和大小，从内存转储（MDMP）中雕刻文件。 除了雕刻功能外，它还支持对雕刻出的 PE 文件进行基本修补。 在编写本文时，它将修补 PE 节头中的偏移量。 依赖要求 root@kitploit: pip install r2pipe 使用默认参数的示例输出： 示例 root@kitploit: $...

ReflectiveDLLInjection

关于 反射式DLL注入是一种库注入技术，它利用反射式编程的概念，将库从内存加载到宿主进程中。因此，该库通过实现一个最小的可移植可执行文件（PE）加载器来负责自身的加载。它可以在与宿主系统和进程进行最小交互的情况下，控制自身如何加载以及与宿主交互。 该注入技术适用于从Windows NT4到Windows 8（含）的系统，并在适用的x86、x64和ARM架构上运行。 概述 将库远程注入进程的过程分为两步。首先，您希望注入的库必须被写入目标进程（下文称为宿主进程）的地址空间。其次，该库必须以满足其运行时预期的方式加载到宿主进程中，例如解析其导入表或将其重定位到内存中的合适位置。...

pev

readpe pev 已迁移至 @mentebinaria/readpe，并由新的维护者接手。 :...

ExportDumper

ExportDumper 一个我编写的小工具，用于转储 PE 文件的导出表。其主要用途是用于 DLL 代理（DLL proxying）场景。 用法 root@kitploit: .\ExportDump dllpath 例如： root@kitploit: .\ExportDump C:\Windows\System32\version.dll Dumping all 17 exported functions from C:\windows\system32\version.dll. + Dumping done. Check pragma.h 将 pragma.h...

XPEViewer

适用于 Windows、Linux 和 MacOS 的 PE 文件查看器/编辑器。 下载：https://github.com/horsicq/XPEViewer/releases 如何运行：https://github.com/horsicq/XPEViewer/blob/master/docs/RUN.md 如何构建：https://github.com/horsicq/XPEViewer/blob/master/docs/BUILD.md 更新日志：https://github.com/horsicq/XPEViewer/blob/master/changelog.txt...

RansomLord

RansomLord NG v1.0 Anti-Ransomware exploit tool. Proof-of-concept tool that automates the creation of PE files, used to exploit ransomware pre-encryption. Updated version NG: https://github.com/malvuln/RansomLord/releases/tag/v1.0 Lang: C SHA256:...

cfgrip

cfgrip PE/ELF x86/x64 CFG 抽出ツール。バイナリを受け取り、逆アセンブルし、すべてのジャンプとコール GOT、ジャンプテーブル、レジスタトレーシング を解決し、完全な制御フローグラフを構造化 JSON としてエクスポートします。 理由 すべての分岐がどこへ向かうのかを正確に知る必要があります。読むためではなく、パッチを当てるためです。JSON を Zydis や AsmJit...

RunPE

RunPE 用于非托管二进制文件的 C 反射加载器。 用法 root@kitploit: Usage: RunPE.exe e.g. RunPE.exe C:\Windows\System32\net.exe localgroup administrators Alternative usage: RunPE.exe ---f ---b ---a e.g: RunPE.exe ---f C:\Windows\System32\svchost.exe ---b ---a 构建配置选项 编辑编译符号以快速调整程序流程： 在 Visual Studio 中右键单击项目 - 属性 - 生成 -...

PE-CoA

PE-CoA 「Pattern Enhanced Multi-Turn Jailbreaking: Exploiting Structural Vulnerabilities in Large Language Models」的代码实现 全文见：https://arxiv.org/pdf/2510.08859 攻击链（Chain of Attack）设置说明 安装 1. 安装依赖 ： root@kitploit: pip install -r requirements.txt API 密钥配置 在 config.py 和 common.py 中配置以下 API 密钥： 必需的 API 密...