WEFFLES

WEFFLES WEFFLESは、Windows Event ForwardingとPowerBIを使用して、高速で無料かつ効果的な脅威ハンティングコンソールを構築する方法です。 詳細なブログ記事は https://aka.ms/weffles でご覧いただけますが、急いでいる場合は wefsetup.ps1 が最初に参照すべきファイルです。 ありがとうございます。 Jessica https://twitter.com/jepaynemsft...

CVE-2021-1675-PrintNightmare

CVE-2021-1675 - PrintNightmare LPE PowerShell Caleb Stewart | John Hammond | 2021年6月1日 CVE-2021-1675 は、"PrintNightmare" と呼ばれる重大なリモートコード実行およびローカル権限昇格の脆弱性です。 リモートコード実行機能の概念実証エクスプロイトが公開されています（Python、C++）。また、ローカル権限昇格用のC版もあります。私たちは純粋なPowerShellによるネイティブ実装を見たことがなく、エクスプロイトの改良と再構築に挑戦したいと考えました。...

MiscTools

MiscTools CsExec コマンド実行 / PsExec 類似の機能による横断移動。特権ユーザーのコンテキストで実行する必要があります。 CsExec.exe 関連情報: TikiService CsPosh コマンド実行 / PowerShell による横断移動。リモートターゲット上に PowerShell の runspace を作成します。 特権ユーザーのコンテキストで実行する必要があります。 Usage: -t, --target=VALUE Target machine -c, --code=VALUE Code to execute -e, --encoded...

MicroBurst

MicroBurst: Azure を攻撃するための PowerShell ツールキット MicroBurst には、Azure サービスの探索、脆弱な構成の監査、資格情報のダンプなどの攻撃後アクションをサポートする関数とスクリプトが含まれています。これは、Azure が使用されているペネトレーションテスト中に使用することを目的としています。 著者、貢献者、ライセンス 著者: Karl Fosaaen @kfosaaen, NetSPI 貢献者: Scott Sutherland @nullbind Thomas Elling @thomaselling Jake Karnes...

Invoke-BSOD

Invoke-BSOD コンピュータを終了させたいときのために - 管理者権限なしで！ BSODメソッドはこちら: https://github.com/Leurak/MEMZ/blob/master/WindowsTrojan/Source/Destructive/KillWindows.cL10-L18 Invoke-BSOD.ps1 管理者権限なしでブルースクリーン（BSOD）を誘発するPowerShellスクリプトです。また、Windowsのクラッシュダンプ設定を列挙します。 これはスタンドアロンスクリプトであり、他のファイルに依存しません。 Invoke-BSOD...

adaudit

adaudit This PowerShell script is designed to conduct a comprehensive audit of Microsoft Active Directory, focusing on identifying common security vulnerabilities and weaknesses. Its execution facilitates the pinpointing of critical areas that require reinforcement, thereby fortifying your...

adaudit

adaudit このPowerShellスクリプトは、Microsoft Active Directoryの包括的な監査を実施し、一般的なセキュリティ脆弱性や弱点を特定するために設計されています。実行により、強化が必要な重要な領域を特定し、Active Directoryを標的とした横断移動や特権昇格攻撃でよく使われる戦術からインフラを保護します。 | | \ | | | || | | | | | | | | | . | | | |||/ ||||||| by phillips321...

Powershell-C2

Powershell-C2 この攻撃は、私の Powershell Payload Excel Delivery から派生したものですが、マシン上でのコマンド＆コントロール／永続化に、非常にクールな方法を使用しています。 ウォークスルーはこちらで見つけられます: http://enigma0x3.wordpress.com/2014/01/17/command-and-control-using-powershell-and-your-favorite-website/ この方法のクレジットは、@obscuresec と @mattifestation...

Invoke-CradleCrafter

Invoke-CradleCrafter v1.1 はじめに Invoke-CradleCrafterは、PowerShell v2.0+互換のPowerShellリモートダウンロードクレードルジェネレーター兼難読化ツールです。 背景...

PowerLurk

PowerLurk PowerLurkは、悪意のあるWMIイベントサブスクリプションを構築するためのPowerShellツールセットです。ペネトレーションテストやレッドチーム演習中にWMIイベントをより簡単に発火させることを目的としています。詳細については、私の投稿 Creeping on Users with WMI Events: Introducing PowerLurk を参照してください: https://pentestarmoury.com/2016/07/13/151/...

Invoke-DNSteal

Invoke-DNSteal は、シンプルでカスタマイズ可能なDNSデータ流出ツールです。 このツールは、UDPおよびTCP経由のDNSプロトコルを通じてデータを流出させるのに役立ち、ランダムな遅延を使用してクエリのサイズを制御できます。また、各クエリでランダムなドメインを使用することで検出を回避でき、ローカルおよびリモートの両方で情報を転送するために使用できます。 必要条件 Powershell 4.0 以上 Python 2 ダウンロード 完全なリポジトリをクローンするか、zipファイルをダウンロードすることを推奨します。 以下のコマンドで実行できます。 git clone...

Empire

Empire Empire is a post-exploitation and adversary emulation framework that is used to aid Red Teams and Penetration Testers. The Empire server is written in Python 3 and is modular to allow operator flexibility. Empire comes built-in with a client that can be used remotely to access the server...

LazySign

LazySign Windows バイナリとバッチファイルの力を使って、バイナリに偽の証明書を作成します 長年にわたり、バイナリファイルの偽署名を盗んだり偽造したりできるクールなツールがいくつかリリースされてきました。 しかし、これらのツールはすべて、Go、Python などの追加の依存関係が必要です。 このリポジトリでは、追加の依存関係を一切必要とせず、偽署名を作成する機会を提供します。使用するバイナリはすべて Microsoft 自身の devkit の一部です。 物事を簡単にするために、バッチファイルを作成しました。 Invoke-LazySign.ps1 PowerShell...

Invoke-Obfuscation

Invoke-Obfuscation v1.8 はじめに Invoke-Obfuscation は PowerShell v2.0+ 互換の PowerShell コマンドおよびスクリプト難読化ツールです。 背景 2015 年の秋、私は PowerShell 言語の柔軟性の研究を始め、ほとんどの攻撃者が日常的に使用する一般的なテクニックを達成するためのさまざまな方法のカタログ化を開始しました。 最初はエンコードされたコマンドとリモートダウンロードクレードルの構文に焦点を当てていました。そこで、コマンドの実行を妨げないさまざまなエスケープ文字が、実行中のプロセスだけでなく、Security...

nopowershell

NoPowerShell NoPowerShellはCで実装されたツールで、PowerShellに似たコマンドを実行しながら、PowerShellのあらゆるログ記録メカニズムに対して不可視のまま動作します。この.NET Framework 2互換のバイナリは、Cobalt Strikeにロードしてメモリ内でコマンドを実行できます。System.Management.Automation.dllは使用されず、ネイティブの.NETライブラリのみが使用されます。NoPowerShellの別のユースケースとしては、制限された環境でrundll32.exeを介してDLLとして起動する方法があります...

Locksmith

Locksmith | | | | |/ | | | | | | || | || | | \ | | | | | | | | .--. .--. .--. /.-. '----------. /.-. '----------. /.-. '----------. '-' .---'-''-'-' '-' .--'--''-'-' '-' .--'--'-''-' '--' '--' '--' Active Directory Certificate Services（AD CS）における一般的な設定ミスを発見・修正するために作られた小規模なツールです。 目次 1. インストール 2...

clrinject

clrinject Injects C EXE or DLL Assembly into any CLR runtime and AppDomain of another process. The injected assembly can then access static instances of the injectee process's classes and therefore affect it's internal state. Usage clrinject-cli.exe -p -a Opens process with id or name , inject EX...

Invoke-ArgFuscator

░█░█▄░█░█▒█░▄▀▄░█▄▀▒██▀░▒░ ▄▀▄▒█▀▄░▄▀▒▒█▀░█▒█░▄▀▀░▄▀▀▒▄▀▄░▀█▀░▄▀▄▒█▀▄░ ░█░█▒▀█░▀▄▀░▀▄▀░█▒█░█▄▄░▀▀░█▀█░█▀▄░▀▄█░█▀░▀▄█▒▄██░▀▄▄░█▀█░▒█▒░▀▄▀░█▀▄░ Invoke-ArgFuscator Invoke-ArgFuscator 是一个开源、跨平台的 PowerShell 模块，可帮助为 Windows、Linux 和 macOS 上的常见系统原生可执行文件生成混淆的命令行。 👉 在此处使用 ArgFuscator 的交互式版本：ArgFuscator.net...

BYOSI

BYOSI EDRがフックするAPIに一切触れることなく、シンプルにEDRを回避する。 理論 ほとんどのEDRはスクリプトファイルをスキャンせず、単なるテキストファイルとして扱うことに気づきました。彼らにとっては残念なことですが、我々にとっては利益を得るチャンスです。 メモリ常駐やスレッドインジェクションのような派手な手法は厳重に監視されています。有効な認証局によって署名されたバイナリなしでは、ほぼ実行不可能です。 そこでBYOSI（Bring Your Own Scripting...

Meerkat

Meerkat Meerkat 是一个 PowerShell 模块集合，专为基于 Windows 的端点进行工件收集和侦察而设计，无需预部署代理。用例包括事件响应分类、威胁狩猎、基线监控、快照比较等。 工件 主机信息| 网络适配器| 进程| 服务| 文件 ---|---|---|---|--- 审核策略| Windows 防火墙规则| DLL| 本地用户| 备用数据流 ADS 磁盘| 端口| 字符串| 本地组| 回收站 修补程序| ARP| 句柄| 计划任务| Hosts 文件 TPM| DNS| 环境变量| 自动运行| 证书 软件| 网络路由| 会话| BitLocker| 选择性注册...