CVE-2021-21985-Checker

CVE-2021-21985 检查器. @alt3kx nmap脚本的简单Powershell实现。 用法 .\CVE-2021-21985.ps1 vcenter.hostname.com 输出 目标存在漏洞 或 目标不存在漏洞...

CVE-2025-54100

CVE-2025-54100 PowerShell 的 curl 在底层使用 Invoke-WebRequest。 PS C:\Users\melih curl cmdlet Invoke-WebRequest at command pipeline position 1 Supply values for the following parameters: Uri:...

Powershell-RAT

Powershell-RAT Pythonベースのバックドアで、Gmailを使用してデータを電子メールの添付ファイルとして流出させます。 このRATは、レッドチームのエンゲージメント中に誰でもWindowsマシンにバックドアを仕掛けるのに役立ちます。スクリーンキャプチャを使用してユーザーアクティビティを追跡し、情報を電子メールの添付ファイルとして攻撃者に送信します。 注: このコードは、アンチウイルスソフトウェアによって完全に検出されません（FUD）。 このプロジェクトは、違法目的や許可のないシステムへのハッキングに使用してはなりません。教育目的および実験目的にのみ使用してください。...

Digital-Signature-Hijack

デジタル署名ハイジャック 正規のデジタル署名をハイジャックする手法は、レッドチーム評価においてPowerShellコードやバイナリに署名するために使用できる技術です。これにより、Device Guardの制限を回避し、エンゲージメント中にステルス性を維持するのに役立ちます。DigitalSignatureHijackはMatt Graeberの研究に基づくPowerShellスクリプトで、以下の操作を実行できます： ホスト上のすべてのポータブル実行可能ファイルにMicrosoftとしてデジタル署名する ホスト上のすべてのPowerShellスクリプトにMicrosoftとしてデジタル署名...

MoveEdr

MoveEDR 如果你以管理员身份操作，可以强制 Windows 在启动后、服务启动之前立即删除或移动文件夹和文件。这可以用来禁用 EDR。 使用 !CAUTION 有一个与 CrowdStrike 相关的问题，会导致循环启动并显示消息 "INACCESSIBLEBOOTDEVICE"。 我的理论是，要么 CrowdStrike 本身，要么某个软件部署解决方案，试图安装缺失的 CrowdStrike 文件，但失败并使其处于损坏状态。 我不确定这是取决于移动后经过的时间，还是执行重启的次数。 第一次移动 CrowdStrike 并重启是正常的。 也许在第一次重启后安排撤消操作，以免出错。...

dns_watchdog_windows2

DNS Watchdog Windows 一个单文件 PowerShell 脚本，使用 pktmon 监视 Windows 机器自身的网络流量，以发现 DNS 投毒 / 欺骗 的迹象。pktmon 是 Windows 10（1809+）、Windows 11 和 Windows Server 2019+ 内置的数据包捕获工具。无需第三方捕获工具（Wireshark、Npcap、tcpdump）。 它在操作系统网络栈处捕获 DNS 流量（UDP/TCP 端口 53），这覆盖了典型机器上的 LAN 和 WAN 流量，然后自行解析原始数据包——pcapng...

msxml4-remediation

MSXML 4.0 の修正 PowerShell 脆弱性スキャナーでよく報告される、サポートされていない Microsoft XML Core Services MSXML 4.0 に関連するセキュリティ検出結果を修正するPowerShellスクリプト。 このスクリプトはMSXML 4の.dllファイルを登録解除し、名前を変更します。これにより脆弱性が修正され、Qualysスキャンで表示されなくなります。 背景 MSXML 4.0 はサポート終了 EOL であり、現在は主に MSXML 6 を使用しています。 このスクリプトの機能 MSXML 4 の DLL を登録解除し、DLL...

HoneypotBuster

レッドチーム向けに設計されたMicrosoft PowerShellモジュール。ネットワークやホスト上のハニーポットやハニートークンを見つけるために使用できます。 コード実行 Import-Moduleを使用してターゲットマシン上でコードを実行します。 Invoke-HoneypotBuster HoneypotBusterは、一般的な分散型デセプションベンダーが使用するハニートークン、ハニーブレッドクラム、ハニーポットを検出するために設計されたツールです。このツールは、以下のデセプション手法を特定するのに役立ちます： 1. Kerberoasting サービスアカウント ハニートークン...

invoke-antivm

Invoke-AntiVM v1.0 Introduction Invoke-AntiVM is a set of modules to perform VM detection and fingerprinting with exfiltration via Powershell. Compatibility Run the script check-compatibility.ps1 to check what modules or functions are compatibile with the powershell version. Our goal is to achiev...

invoke-antivm

Invoke-AntiVM v1.0 はじめに Invoke-AntiVMは、Powershellを介してVMの検出とフィンガープリンティング（エクスフィルトレーションを含む）を実行するためのモジュールのセットです。 互換性 スクリプト check-compatibility.ps1 を実行して、どのモジュールまたは関数が使用中のPowerShellバージョンと互換性があるかを確認してください。 私たちの目標は、PowerShell 2.0からの互換性を実現することですが、まだそこには達していません。 check-compability.ps1...

RTI-Toolkit

RTIツールキット Remote Template Injection ツールキット 説明 RTIツールキットは、Remote Template Injection攻撃のためのオープンソースのPowerShellツールキットです。このツールキットには、PS-Templator.ps1 というPowerShellスクリプトが含まれており、攻撃側と防御側の両方の視点から使用できます。 以下のテーブルは、PS-Templator.ps1 の主要モジュール（コマンドレット）を示しています。 Cmdlet| 説明| 視点 ---|---|--- Invoke-Template|...

DSCourier_BOF

DSCourier BOF これは、Dylan Davis 氏と Matthew Schramm 氏による DSCourier プロジェクトの BOF 実装です。WinGet の COM インターフェースを使用して、Microsoft によって署名され信頼されたプロセス内で任意の PowerShell コードを実行します。両氏の詳細な研究ブログは こちら でご覧いただけます。...

AzureHunter

Azure および O365 のデータに対し、クラウドフォレンジック目的で脅威ハンティングプレイブックを実行するための Powershell モジュールです。 始め方 1. 適切な O365 権限があることを確認する UnifiedAuditLog への 読み取り専用 アクセスを可能にするには、Exchange Online で次のロールが必要です: View-Only Audit Logs または Audit Logs。 これらのロールは、Exchange Admin Center の Compliance Management ロールグループにデフォルトで割り当てられています。 注 ...

ShellSweep

ShellSweep 邪悪なWebシェルを一掃する ShellSweepの目的 ShellSweepは、指定されたディレクトリ内の潜在的なWebシェルファイルを検出するために設計されたPowerShell/Python/Luaツールです。 ShellSweepとそのツール群は、ファイル内容のエントロピーを計算し、そのファイルがWebシェルである可能性を推定します。高いエントロピーは、よりランダム性が高いことを示し、これはWebシェルによく見られる暗号化または難読化されたコードの特徴です。...

msf_shellcode_analysis

Metasploit shellcode 的静态分析 作为第一篇博客文章，我觉得分析一个常见的 Metasploit shellcode 会很有意思——这是一个讨论编码、PEB、Windows shellcode 和导出地址表等主题的好机会。 开始 我们从一条截获的长命令行开始：powershell "powershell.exe" -nop -w hidden -encodedcommand...

Chimera

Chimeraは、AMSIやアンチウイルスソリューションをバイパスするために設計された（派手で非常にハックな）PowerShell難読化スクリプトです。AVをトリガーすることで知られる悪意のあるPS1を消化し、文字列置換と変数連結を使用して一般的な検出シグネチャを回避します。 Chimeraはこのwrite-upのために作成され、検出シグネチャをバイパスすることがいかに簡単であるかを示すさらなる証拠です。このリポジトリが誰かに堅牢で信頼性の高いものを作るきっかけとなることを願っています。 Chimeraの仕組み…...

Chimera

Chimera is a shiny and very hack-ish PowerShell obfuscation script designed to bypass AMSI and antivirus solutions. It digests malicious PS1's known to trigger AV and uses string substitution and variable concatenation to evade common detection signatures. Chimera was created for this write-up an...

powersap

PowerSAP PowerSAP is a simple powershell re-implementation of popular & effective techniques of all public tools such as Bizploit, Metasploit auxiliary modules, or python scripts available on the Internet. This re-implementation does not contain any new or undisclosed vulnerability. PowerSAP allo...

powersap

PowerSAP PowerSAPは、公開されているすべてのツール（Bizploit、Metasploitの補助モジュール、インターネット上のPythonスクリプトなど）で利用される一般的かつ効果的なテクニックを、シンプルなPowerShellで再実装したものです。この再実装には、新規または未公開の脆弱性は含まれていません。 PowerSAPは、.Netコネクタ「NCo」を使用してSAP RFCにアクセスできます。 クレジット すべてのクレジットは以下に帰属します: Onapsis - Mariano, Jordan… ERPScan @chipik ERPSEC - Joris van...

CVE-2025-54100

CVE-2025-54100 – PowerShell 响应解析 PoC 一个简洁的概念验证，展示CVE-2025-54100 如何通过恶意HTML解析在Windows PowerShell 5.1中导致远程代码执行（RCE）。 Table of Contents 什么是CVE-2025-54100？ PoC工作原理 快速开始 从受害者主机触发 故障排除与验证 证据 缓解措施 免责声明 参考资料 什么是CVE-2025-54100？ 类型： 当未 使用-UseBasicParsing时，Invoke-WebRequest中的命令注入 严重性： CVSS 7.8（高） 根因：...