KeePass-dump-py

KeePass-dump-py オリジナルのKeePass 2.X Master Password Dumper CVE-2023-32784 POCをPythonで書き直す試みです。 脆弱性とその悪用プロセスの詳細については、オリジナルのPOCをご覧ください。 このスクリプトの機能: 1. KeePassプロセスが実行中か確認し、実行中でなければKeePassを起動します。 2. WerFaultを使用してKeePassプロセスをダンプします（コードスニペットはLSASSYから流用）。 3. プロセスダンプからパスワードを検索します。...

keepass-exfil-forensics

KeePass 内存外泄 — 网络取证调查 通过逆向真实 DFIR CTF 场景（TryHackMe）中所使用的 hex → Base64 → XOR 混淆链，从 PCAP 流量中恢复被外泄的数据，随后利用 CVE-2023-32784 直接从进程内存转储中恢复 KeePass 主密码。 攻击流程示意图 root@kitploit: Victim workstation Attacker C2 Server ------------------- ------------------- Malicious .ps1 downloaded over HTTP | v Downloads...

DMA-ProcessDumper

DMA-ProcessDumper PCIe FPGAデバイス上でMemProcFSを使用したDMAを利用し、ユーザーモードで対象プロセスのメモリ全体をダンプします ビルド MemProcFSからleechcore.h、vmmdll.h、vmm.libをDMA-ProcessDumperディレクトリにコピーします Visual Studioを使用してコンパイルします MemProcFSからleechcore.dll、vmm.dll、FTD3XX.dllをDMA-ProcessDumper\x64ディレクトリにコピーします 使用方法 root@kitploit:...

KeePass-CVE-2023-32784-Exploitation-and-Defense

KeePass メモリリーク脆弱性 CVE-2023-32784: エクスプロイトと防御アーキテクチャ 目的 KeePass Password Safe v2.53 における CVE-2023-32784 脆弱性を分析し、メモリダンプによるマスターパスワード抽出を実証し、堅牢な検出および緩和策を設計することを目的とする。 脆弱性 KeePass はマスターパスワード入力に独自の SecureTextBoxEx を使用しており、入力された全ての文字に対してプロセスのアドレス空間に文字列断片が残る。実行中のプロセスの .DMP...

Citrix Virtual Apps and Desktops - Citrix.Monitor.exe memory leak

Citrix.Monitor.exe is gradually taking up ram memory on the Delivery Controller. Number of threads increases every day 200+. Memory usage is very high 1GB+. Process memory dump shows a lot of threads with ‘SendMessagesToPendo’ on the call stack...

Windows Process Memory Dump

This module creates a memory dump of a process to disk and downloads the file for offline analysis. Options for DUMPTYPE affect the completeness of the dump: "full" retrieves the entire process address space all allocated pages; "standard" excludes image files e.g. DLLs and EXEs in the address...

ActivCard password cache memory leakage

In December of the 2002 I was analysing the ActivCard product for a client. During the analysis I noticed that making a memory dump of the process "scardsrv" was possible to obtain the users stored staticaly in the card. This issue at first, could seem smaller, although in depth already it has a...