SharpEDRChecker

SharpEDRChecker New and improved C Implementation of Invoke-EDRChecker. Checks running processes, process metadata, Dlls loaded into your current process and each DLLs metadata, common install directories, installed services and each service binaries metadata, installed drivers and each drivers...

wanderer

Wanderer Wanderer 是一个开源程序，用于收集运行中进程的信息。这些信息包括完整性级别、AMSI 是否作为已加载模块存在、进程是 64 位还是 32 位，以及当前进程的特权级别。在构建针对进程注入的理想候选进程的载荷时，这些信息非常有用。 这个项目是我在完成 Offensive Security 的 PEN-300 课程过程中开始开发的。课程中我最喜欢的模块之一是进程注入与迁移部分，这启发我构建一个工具，帮助我在该活动中提高效率。特别感谢 ShadowKhan，他提供了宝贵的反馈，为这个工具带来了创意方向，使其视觉上更吸引人，并通过建议的过滤功能增强了可用性。 使用方法...

Enumprotections_BOF

Enumprotections BOF 此 BOF 可用于枚举系统进程并识别每个进程的保护级别。还会返回其他信息，例如服务关联、用户、会话和路径。结合这些信息，可以识别出适合探索 SYSTEM 级 DLL 劫持的良好候选进程。理想进程应具备以下条件： 1. 未受保护 2. 与服务关联，因此可启动/停止 3. 第三方软件。微软非常擅长识别对 Microsoft 组件的劫持。 Usage Compilation 该工具在编写时未使用通常的 BOF API 声明（例如 bofdefs.h 文件）。正如 Matt Ehrnschwender 的这篇 博客文章 所述，可以使用 objcopy 将格...

0xKern3lCrush

💀 0xKern3lCrush-M4te-CVE-2026-0828 Windows BYOVD 研究与端点侦察笔记 严格教育/安全研究仓库。 目标：通过公开披露记录和理解自带易受攻击驱动程序 BYOVD 技术 — 不包含任何可工作的漏洞利用代码 。 本仓库收集： 安全的用户态侦察代码（通过 Toolhelp32 API 进行进程枚举） 针对真实 BYOVD 案例的静态分析成果和笔记 不含内核态代码、IOCTL 调用逻辑或进程终止例程 ⚠️ 关键伦理与法律警告（阅读任何内容之前） 本仓库 不是 漏洞利用投递机制。 不要...

Bin-Finder

描述 该工具用于查找已加载某个特定二进制文件的进程，或未加载该二进制文件的进程。这在以下场景中非常有用： 它可以检测未加载特定 EDR/AV DLL 的进程，从而帮助发现 EDR 的例外项。 它可以以极低的跨进程活动量获取特定进程的 PID（例如，查找加载了 c:\windows\sytem32\lsass.exe 的进程即可获得 Lsass 的 PID）。 它可以获取服务或 RPC/COM 服务器的 PID，而无需遍历每个正在运行的 svchost 进程。 你也许能发现该工具的其他有价值的用法。以上结果的获取无需遍历系统中的所有进程 ，且噪音更低。 该工具通过使用...

process-enumeration-stealth

🚴 process-enumeration-stealth 这是什么？ 这是一个简单的 PoC，它允许你通过查询 \ntfs\ 基础设备（Windows 文件系统基础对象）返回当前正在使用 NTFS 的 PID 列表。使用这种方法无需使用典型 API，如 NtQuerySystemInformation 或更高级的 EnumProcesses。使用这种非典型的侦察方法可以让操作者规避端点上的典型监控 🎉。感谢 Jonas Lyk 最初发现了这个技巧。 它是如何工作的？ 1. 使用 GENERICREAD | SYNCHRONIZE 获取 \ntfs\ 的句柄 2. 使用...

Mhyprot2DrvControl

Mhyprot2DrvControl 一个允许使用 mhyprot2 驱动程序枚举进程模块、读写进程内存以及终止进程的库。 用法 构建并运行，有关可用函数及用法，请参阅 Driver\MhyProt2.cs。 演示...

Exploit for CVE-2026-0828

💀 0xKern3lCrush-M4te-CVE-2026-0828 Windows BYOVD Research &...

Inside Raccoon Stealer V2

Raccoon Stealer is back on the news again. US officials arrested Mark Sokolovsky, one of the malware actors behind this program. In July 2022, after several months of the shutdown, a Raccoon Stealer V2 went viral. Last week, the Department of Justice's press release stated that the malware...

Metasploit Wrap-Up

NSClient++ Community contributor Yann Castel has contributed an exploit module for NSClient++ which targets an authenticated command execution vulnerability. Users that are able to authenticate to the service as admin can leverage the external scripts feature to execute commands with SYSTEM level...

Baphomet - Basic Concept Of How A Ransomware Works

This is a proof of concept of how a ransomware works, and some techniques that we usually use to hijack our files. This project is written in C using the net-core application framework 3.1.The main idea of the code is to make it as readable as possible so that people have an idea of how this type...

CVE-2018-1121

Since the kernel's procpidreaddir returns PID entries in ascending numeric order, a process occupying a high PID can use inotify events to determine when the process list is being scanned, and fork/exec to obtain a lower PID, thus avoiding enumeration. An unprivileged attacker can hide a process...

[Show Threads] Tool to list all the Threads in the running Process

Show Threads is the small command-line Tool to list all the Threads in the running Process. You can either specify the Process ID or Process Name to enumerate the threads. For each thread, it displays Thread ID and the Base Priority. Being a command-line tool makes it easy for automation. It can ...

Build a fully functional MYSQL UDF-vulnerability warning-the black bar safety net

Now online through the mysql get system privileges, mostly by the MYSQL user function interface UDF, 比如Mix.dll和myudf.dll the. In the Mix. the dll has a MixConnect function it will bounce the shell, but using this function will cause the MYSQL suspended animation, the other day I used this functio...

Kept in purdah who did not know: FU_Rootkit-vulnerability warning-the black bar safety net

I in 2 0 0 4 year 1 1 period of black anti-posted on the gadgets clever to delete the Guest/Administrator accounts on this article, there are a lot of friends asking about tools is how to write, in fact this tool inside most of the code is my copy FURootkit over. Since friends like, these days I'...