HeaderLessPE

HeaderLessPE Introduction 中文 HeaderLessPE is a memory PE loading technique used by the Icedid Trojan. Based on this technology, we propose a new way of file-less attack using HVNC . This enhancement allows to inject HeaderLessPE into execute graphical hacking tools without limitations. Compared t...

KsDumper

🔴 This repo is outdated due to the Capcom driver being patched 🔴 Thanks to mastercodeon314 there's now a port working on Windows 11. Enjoy ! https://github.com/mastercodeon314/KsDumper-11 KsDumper I always had an interest in reverse engineering. A few days ago I wanted to look at some game...

PELoader

PELoader PELoader implement various shellcode injection techniques, and use libpeconv library to load encrypted PE files instead of injecting shellcode into remote thread. Following techniques were implemented: Module Stomping LoadLibrary Module Stomping NtMapViewOfSection PoC Transacted Hollowin...

iocx

IOCX Deterministic, Zero‑Risk IOC Extraction for Modern Security Pipelines Static IOC extraction from a PE file using the IOCX CLI Official IOCX Project This is the original IOCX engine for deterministic static IOC extraction and PE analysis. Any other repositories using the name "iocx" are not...

pe2pic

English || 简体中文 pe2pic Pequeño visualizador de archivos PE Primeros pasos Instala las dependencias con: root@kitploit: pip install -r requirements.txt Uso root@kitploit: usage: pe2pic.py -h --infile INFILE --outfile OUTFILE --double --minheight MINHEIGHT PE visualizer options: -h, --help show thi...

windiff

WinDiff 关于 WinDiff 是一个开源、基于 Web 的工具，允许浏览和比较不同版本 Microsoft Windows 二进制文件中的符号、类型和系统调用信息。该二进制数据库会定期自动更新，包含来自最新 Windows 更新（包括 Insider Preview）的数据。 该工具的灵感来源于 ntdiff，并借助 Winbindex 实现。 截图 工作原理 WinDiff 由两部分组成：一个用 Rust 编写的 CLI 工具，以及一个用 TypeScript 编写、基于 Next.js 框架的 Web 前端。 CLI 工具根据配置文件生成压缩的 JSON 数据库，它依赖...

SSMA

SSMA SSMA is a simple malware analyzer written in Python 3. Features: Analyze PE file's header and sections number of sections, entropy of sections/PE file, suspicious section names, suspicious flags in the characteristics of the PE file, etc. Analyze ELF file for Linux malware analysis, it uses...

amber

Inroduction Amber is a position-independentreflective PE loader that enables in-memory execution of native PE filesEXE, DLL, SYS.... It enables stealthy in-memory payload deployment that can be used to bypass anti-virus, firewall, IDS, IPS products, and application white-listing mitigations...

AsmResolver

AsmResolver AsmResolver 是一个用于读取、修改和重建可移植可执行文件（PE）的库。它支持在 Windows 上本机运行的 PE 映像，以及包含托管（.NET）元数据的映像。 AsmResolver 在 MIT 许可证下发布。 主要功能 AsmResolver 拥有众多功能。以下是部分亮点（并非完整列表）： 创建、读取、修改、写入和修补 PE 文件。 完全访问节、数据目录及其解释。 导入地址表（IAT）重建和蹦床（trampoline）处理。 完全控制最终 PE 文件输出的布局。 对多种 Win32 资源类型（图标、版本信息等）提供丰富支持。 对 .NET...

process_overwriting

Process Overwriting Process Overwriting is a PE injection technique, closely related to Process Hollowing and Module Overloading. With its help, you can replace the main executable not a DLL of the target process. It works only for a newly created process - injection to existing processes is not...

process_overwriting

プロセス上書き Process Overwriting は、Process Hollowing や Module Overloading に密接に関連する PE インジェクション手法です。 この手法を使用すると、対象プロセスのメイン実行可能ファイル（DLL 以外）を置き換えることができます。 これは新しく作成されたプロセスに対してのみ機能し、既存のプロセスへのインジェクションはこの手法ではサポートされていません。 警告: ターゲットイメージのサイズは、ペイロードイメージのサイズよりも小さくてはなりません 。 実行手順: 1. 良性ファイルから（CFG...

rp

rp++: PE/ELF/Mach-O x86/x64/ARM/ARM64 バイナリ向けの高速 ROP ガジェットファインダー 概要 rp++ または rp は、PE/ELF/Mach-O 実行ファイルおよび x86/x64/ARM/ARM64 アーキテクチャ向けの C++ 製 ROP ガジェットファインダーです。 ROP ガジェットの検出 ROP ガジェットを検出するには、--file / -f オプションでファイルを指定し、--rop / -r オプションでガジェット内の最大命令数を指定します:...

PESTO

PESTO: PE files Statistical Tool Description PESTO is a Python script that extracts and saves in a database some PE file security characteristics or flags searching for every PE binary in a whole directory, and saving results in a database. It checks for architecture flag in the header, and for t...

No-Consolation

No-Consolation 这是一个 Beacon 对象文件（BOF），用于内联执行非托管 PE 并获取其输出，而无需分配控制台（即生成 conhost.exe 进程）。 功能 支持 64 位和 32 位 支持 EXE 和 DLL 不创建新进程 不创建新线程 将模块链接到 PEB 在内存中保存二进制文件 支持 C++ 异常（仅限 x64） 自定义加载所有依赖项 用法 root@kitploit: Summary: Run an unmanaged EXE/DLL inside Beacon's memory. Usage: noconsolation --local --inthrea...

PE-Linux

PE-Linux New Linux Privilege Escalation Tool Getting Started System Information Gatherer Kernel Information Gatherer Checking Development environments on the system Escaping Restricted Shells Extract PATH & environment Information Check Kernel if Vulnerable To Dirty cow Exploit Password Collector...

DInvoke_rs

DInvokers Rust 移植版，源自 Dinvoke。DInvokers 可用于多种用途，例如 PE 解析、动态解析导出函数、在运行时动态加载 PE 插件、规避 API 钩子等。 功能特性： 从 Rust 动态解析并调用未文档化的 Windows API。 提供可用于战略性规避 API 钩子的原语。 间接系统调用。仅限 x64 手动映射来自磁盘或直接来自内存的 PE 模块。 PE 头解析。 将 PE 模块映射到由磁盘上任意模块支持的内存区域。不符合 Opsec 要求 模块波动（Module fluctuation）以隐藏已映射的 PE（支持并发）。不符合 Opsec 要求...

wibu-codemeter-analysis

Cryptographic Analysis of WIBU CodeMeter DLL Independent security research on WIBU-Systems CodeMeter protection Responsible Disclosure Vendor notified: December 24, 2025 Disclosure period: 90 days Public release: March 24, 2026 Scope: WibuBz32.dll analysis only Summary Analysis of WIBU CodeMeter...

pftriage

pftriage pftriage は、マルウェアトリアージ中にファイルを分析するためのツールです。アナリストはファイルのプロパティを迅速に表示・抽出し、トリアージプロセスを支援できます。また、マルウェアが使用する一般的な悪意のある指標を検出する分析機能も備えています。 依存関係 pefile file-magic オプション ssdeep オプション 注意: Mac の場合、Apple は独自の file コマンドを実装しています。しかし、libmagic は homebrew を使用してインストールできます。 root@kitploit: $ brew install libmagi...

Inline-Execute-PE

Inline-Execute-PE DISCLAIMER: This project is complex and failure to understand how it works and adequately test it can result in you crashing Beacons and losing access! I highly encourage you to read all of the documentation up until the "Design Considerations and Commentary" section! Introducti...

recomposer

Recomposer.py 悪意のあるバイナリをVirusTotalや他のAVサイトにアップロードする際、ハッシュでバイナリを検索できるため（例：https://github.com/mubix/vt-notify）、不安な気持ちになったことはありませんか？ Recomposerを使えば、もう少し安心できます！ Recomposerは、あなたのバイナリに対してランダムに以下の処理を行います。 ファイル名の変更 セクション名の変更 セクションフラグの変更 利用可能な各コードケーブ（長さ20バイト以上）に、5種類の異なるNOPをランダムな数だけ挿入...