keepass-exfil-forensics

KeePass 内存外泄 — 网络取证调查 通过逆向真实 DFIR CTF 场景（TryHackMe）中所使用的 hex → Base64 → XOR 混淆链，从 PCAP 流量中恢复被外泄的数据，随后利用 CVE-2023-32784 直接从进程内存转储中恢复 KeePass 主密码。 攻击流程示意图 Victim workstation Attacker C2 Server ------------------- ------------------- Malicious .ps1 downloaded over HTTP | v Downloads ProcDump legit...

Loki-RS

Loki-RS Rust による Loki の再実装。単一バイナリで動作する、高性能・マルチスレッドの YARA & IOC スキャナです。 ステータス : ベータ版。動作はしますが、現在も活発に開発中です。 特長 ファイルおよびプロセスメモリの YARA スキャン yara-x IOC マッチング MD5/SHA1/SHA256 ハッシュ、ファイル名パターン、C2 指標 スレッド数を設定可能なマルチスレッドスキャン アーカイブスキャン ZIP ファイル リアルタイム統計と制御が可能なインタラクティブ TUI syslog 経由のリモートロギング UDP/TCP SYSLOG/JSON...

Hawk

Hawk SSH および SU の認証情報をリアルタイムで静かに傍受する Hawk は sshd および su プロセスを監視し、ptrace を介してメモリからパスワードを抽出します。対象プロセスを変更することはなく、読み取り専用の認証情報収集を実現します。 デモ 動作の仕組み Hawk は Linux の /proc ファイルシステムを利用して SSH および SU プロセスを発見し、ptrace を使用してアタッチしシステムコールを傍受します。パスワード認証が発生すると、write...

aes-finder

AES Finder Utility to find AES keys in running process memory. Works for 128, 192 and 256-bit keys. Usage Open aes-finder.sln solution in Visual Studio 2013 to compile source. Alternatively use gcc/clang: g++ -O3 -march=native -fomit-frame-pointer aes-finder.cpp -o aes-finder To search for keys i...

aes-finder

AES Finder 実行中のプロセスメモリからAESキーを検出するユーティリティ。128ビット、192ビット、256ビットのキーに対応しています。 使用方法 ソースをコンパイルするには、Visual Studio 2013で aes-finder.sln ソリューションを開いてください。あるいは、gcc/clangを使用します: g++ -O3 -march=native -fomit-frame-pointer aes-finder.cpp -o aes-finder ID 123 のプロセス内でキーを検索するには、次のコマンドを実行します: aes-finder.exe -123...

ShellCodeEmulator

ユニコーンフレームワーク（unicorn framework）に基づくWindowsシェルコードエミュレーションツール ShellcodeEmulatorは、windbgプロセスメモリダンプを利用してWindowsシェルコードをエミュレートします。任意のWindowsプロセスダンプイメージを使用して、解析するシェルコードを提供できます。このツールは、シェルコードのバイトと提供されたダンプイメージを使用して、ユーザーランドコードを可能な限りエミュレートします。...

python-haystack

python-haystack メモリフォレンジックス |travis| |coverage| |landscape| |pypi| |docs| クイックスタート クイック使用ガイド docs/ フォルダ内 Haystack-reverse CLI docs/ フォルダ内 詳細ドキュメント はじめに python-haystack は、割り当てられたメモリ内の C 構造体の検索とリバースエンジニアリングに特化したヒープ分析フレームワークです。 最初の機能/API は SEARCH 関数です。プロセスメモリダンプや動作中のプロセスメモリ内で既知のレコードタイプを検索する機能を提供します。...

ATMMalScan

はじめに ATMMalScan は、Windows 7 以降のオペレーティングシステム向けのコマンドラインツールで、DFIR プロセス中に ATM 上のマルウェアの痕跡を検索するのに役立ちます。このツールは、システムの実行中のプロセスと、指定されたファイルパスに応じてハードディスクを調査します。システムをスキャンするには、標準権限を持つユーザーで十分です。ただし、ATMMalScan は管理者権限で最良の結果を提供します。 既知の問題: 現在、ATMMalScan は Unicode を必要とするコードページをサポートしていません。つまり、例えばキリル文字や中国語の文字に設定されている...

moneta

/ \ / | / \ / \ / \ / / \ \ / Y | \ /| | / | //| | / | / / / / / Moneta v1.0 | Forrest Orr | 2020 必須 -m |region|referenced|ioc -p |PID オプション -v detail|debug|surface -d --option from-base|statistics --filter unsigned-module|clr-prvx|clr-heap|metadata-modules --address --region-size -m...

proctools

proctools Windowsプロセスから情報を抽出し、機密文字列をダンプするための小さなツールキット。FormThiefに付属するように作られています。 procsearch - 対象プロセスのメモリ内の機密文字列を検索します 読み取り可能なプロセスメモリ内で解析された文字列を検索し、見つかった場合、検索文字列の周辺の有効なASCII文字の範囲を表示します procinfo - プロセス実行ファイルの以下のファイルバージョン情報を表示します: プロセス名 説明 製品名 ファイルバージョン 内部名 会社名 コメント 法的著作権 法的商標 製品バージョン プライベートビルド...

CobaltStrikeScan

CobaltStrikeScan ファイルまたはプロセスのメモリをスキャンしてCobalt Strikeビーコンを検出し、その設定を解析します。 CobaltStrikeScanは、WindowsプロセスメモリをスキャンしてDLLインジェクション（従来型またはリフレクティブインジェクション）の証拠を探し、さらにターゲットプロセスのメモリに対してYARAスキャンを実行してCobalt Strike v3およびv4ビーコンのシグネチャを検出します。...

AzTokenFinder

AzTokenFinder 是一个小型工具，用于从不同进程（如 PowerShell、Excel、Word 或其他）中提取 JWT（或类似 JWT 的数据）。其灵感来自博客文章 https://mrd0x.com/stealing-tokens-from-office-applications/ 和作者 @mrd0x。 在新版本中，我加入了来自 @xpn 的研究成果及其文章 https://blog.xpnsec.com/wam-bam/。 AzTokenFinder.exe --help --mode Required. Default: Online Use mode 'online...

truffleproc

truffleproc — 在进程内存中搜寻秘密 用法 对当前的 Bash shell（例如 $$）运行 truffleproc.sh： $ ./truffleproc.sh $$ coredumping pid 6174 Reading symbols from od... Reading symbols from /usr/lib/systemd/systemd... Reading symbols from /lib/systemd/libsystemd-shared-247.so... Reading symbols from...

Eclipse Jetty <9.2.9.v20150224 - Sensitive Information Leakage

Eclipse Jetty before 9.2.9.v20150224 allows remote attackers to obtain sensitive information from process memory via illegal characters in an HTTP header. id: CVE-2015-2080 info: name: Eclipse Jetty 9.2.9.v20150224 - Sensitive Information Leakage author: pikpikcu severity: high description: Eclip...

DMA-ProcessDumper

DMA-ProcessDumper 使用 DMA 与 MemProcFS 通过 PCIe FPGA 设备在用户态转储目标进程的完整内存 构建 将 MemProcFS 中的 leechcore.h、vmmdll.h 和 vmm.lib 复制到 DMA-ProcessDumper 目录 使用 Visual Studio 编译 将 MemProcFS 中的 leechcore.dll、vmm.dll 和 FTD3XX.dll 复制到 DMA-ProcessDumper\x64 目录 用法 DMA-ProcessDumper.exe target.exe 资源...

KeePass-CVE-2023-32784-Exploitation-and-Defense

KeePass メモリリーク脆弱性 CVE-2023-32784: エクスプロイトと防御アーキテクチャ 目的 KeePass Password Safe v2.53 における CVE-2023-32784 脆弱性を分析し、メモリダンプによるマスターパスワード抽出を実証し、堅牢な検出および緩和策を設計することを目的とする。 脆弱性 KeePass はマスターパスワード入力に独自の SecureTextBoxEx を使用しており、入力された全ての文字に対してプロセスのアドレス空間に文字列断片が残る。実行中のプロセスの .DMP...

watcher

反反向Shell 大家好，我是themoon（也叫shalev），我创建这个项目是为了帮助那些运行安全性较低服务器的人。 你可以使用这个项目来保护你的计算机免受攻击者可能试图对你的计算机进行反向Shell的攻击。 关于此项目的信息 你可以在这里查看此项目的工作方式 https://miro.com/app/board/uXjVGAn3Ml8=/?sharelinkid=431140843238 反向Shell 检测可疑进程和命令执行 扫描进程内存以检测Shellcode注入模型 记录所有发现的操作 操作系统支持 Windows用户 Linux 要求 1...

varc

varc 揮発性アーティファクトコレクター varcはシステムから揮発性データのスナップショットを収集します。 システムで何が起こっているかを把握し、セキュリティインシデントの調査時に特に有用です。 ZIPファイルを作成し、システムで何が起こっているかを理解するためのさまざまなデータを含みます： JSONファイル（例：実行中のプロセスとそのネットワーク接続） 実行中のプロセスのメモリ（プロセスごと）。メモリからログやテキストデータを抽出するためにカービングも行います。 アクティブな接続のNetstatデータ 開いているファイルの内容（例：実行中のバイナリ）...

CVE-2026-103764

Mooncake transfer engine before 0.3.13 contains an untrusted pointer dereference in ServerSession::readHeader that allows unauthenticated attackers to read and write arbitrary process memory via the TCP transport data port. Attackers can send a crafted SessionHeader with arbitrary addr and size...

memscan

memscan 在进程的内存空间中搜索字符串、正则表达式、磁条卡磁道中的信用卡号码 内存/进程扫描器 由 Matt Lewis 编写，NCC Group 2014 由 Tom Watson 更新，NCC Group 2015 感谢 Jesse Bullock 提供了许多好主意 由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.com/ 由 Matt Lewis 和 Tom Watson 开发，matt dot lewis at nccgroup dot com & tom dot watson at nccgroup dot com...