aes-finder

AES Finder Utility to find AES keys in running process memory. Works for 128, 192 and 256-bit keys. Usage Open aes-finder.sln solution in Visual Studio 2013 to compile source. Alternatively use gcc/clang: g++ -O3 -march=native -fomit-frame-pointer aes-finder.cpp -o aes-finder To search for keys i...

python-haystack

python-haystack memory forensics |travis| |coverage| |landscape| |pypi| |docs| Quick Start: Quick usage guide in the docs/ folder. Haystack-reverse CLI in the docs/ folder. More documentation Introduction: python-haystack is an heap analysis framework, focused on searching and reversing of C...

proctools

proctools Windowsプロセスから情報を抽出し、機密文字列をダンプするための小さなツールキット。FormThiefに付属するように作られています。 procsearch - 対象プロセスのメモリ内の機密文字列を検索します 読み取り可能なプロセスメモリ内で解析された文字列を検索し、見つかった場合、検索文字列の周辺の有効なASCII文字の範囲を表示します procinfo - プロセス実行ファイルの以下のファイルバージョン情報を表示します: プロセス名 説明 製品名 ファイルバージョン 内部名 会社名 コメント 法的著作権 法的商標 製品バージョン プライベートビルド...

ShellCodeEmulator

Windows shellcode emulation tool based upon unicorn framework. ShellcodeEmulator emulates Windows shellcode with the help of windbg process memory dumps. You can provide shellcode to analyze with any Windows process dump image. The tool will emulate as much as of the userland code using the...

Hawk

Hawk SSH および SU の認証情報をリアルタイムで静かに傍受する Hawk は sshd および su プロセスを監視し、ptrace を介してメモリからパスワードを抽出します。対象プロセスを変更することはなく、読み取り専用の認証情報収集を実現します。 デモ 動作の仕組み Hawk は Linux の /proc ファイルシステムを利用して SSH および SU プロセスを発見し、ptrace を使用してアタッチしシステムコールを傍受します。パスワード認証が発生すると、write...

Loki-RS

Loki-RS Rust による Loki の再実装。単一バイナリで動作する、高性能・マルチスレッドの YARA & IOC スキャナです。 ステータス : ベータ版。動作はしますが、現在も活発に開発中です。 特長 ファイルおよびプロセスメモリの YARA スキャン yara-x IOC マッチング MD5/SHA1/SHA256 ハッシュ、ファイル名パターン、C2 指標 スレッド数を設定可能なマルチスレッドスキャン アーカイブスキャン ZIP ファイル リアルタイム統計と制御が可能なインタラクティブ TUI syslog 経由のリモートロギング UDP/TCP SYSLOG/JSON...

moneta

/ \ / | / \ / \ / \ / / \ \ / Y | \ /| | / | //| | / | / / / / / Moneta v1.0 | Forrest Orr | 2020 必須 -m |region|referenced|ioc -p |PID オプション -v detail|debug|surface -d --option from-base|statistics --filter unsigned-module|clr-prvx|clr-heap|metadata-modules --address --region-size -m...

ATMMalScan

Introduction ATMMalScan is a commandline tool for Windows operating systems version 7 and higher, which helps to search for malware traces on an ATM during the DFIR process. This tool examines the running processes of a system, as well as the hard disk, depending on the specified file path. To sc...

CobaltStrikeScan

CobaltStrikeScan Scan files or process memory for Cobalt Strike beacons and parse their configuration. CobaltStrikeScan scans Windows process memory for evidence of DLL injection classic or reflective injection and/or performs a YARA scan on the target process' memory for Cobalt Strike v3 and v4...

keepass-exfil-forensics

KeePass メモリ流出 — ネットワークフォレンジック調査 実際の DFIR CTF シナリオ TryHackMe で使用された hex → Base64 → XOR 難読化チェーンを逆変換して PCAP トラフィックから流出データを復元し、その後 CVE-2023-32784 を悪用してプロセスメモリダンプから直接 KeePass マスターパスワードを回復します。 攻撃の全体図 Victim workstation Attacker C2 Server ------------------- ------------------- Malicious .ps1 downloaded...

aes-finder

AES Finder 実行中のプロセスメモリからAESキーを検出するユーティリティ。128ビット、192ビット、256ビットのキーに対応しています。 使用方法 ソースをコンパイルするには、Visual Studio 2013で aes-finder.sln ソリューションを開いてください。あるいは、gcc/clangを使用します: g++ -O3 -march=native -fomit-frame-pointer aes-finder.cpp -o aes-finder ID 123 のプロセス内でキーを検索するには、次のコマンドを実行します: aes-finder.exe -123...

AzTokenFinder

AzTokenFinder PowerShell、Excel、Word、その他のプロセスからJWT（またはJWTに似たデータ）を抽出する小さなツールです。このアイデアは、素晴らしい@mrd0xによるブログ記事https://mrd0x.com/stealing-tokens-from-office-applications/に触発されました。 新しいリリースでは、素晴らしい@xpnの研究と彼の記事https://blog.xpnsec.com/wam-bam/を追加しました。 AzTokenFinder.exe --help --mode Required. Default: Onlin...

truffleproc

truffleproc — プロセスメモリ内の秘密情報を探す 使い方 現在の Bash シェル（例: $$）に対して truffleproc.sh を実行します: $ ./truffleproc.sh $$ coredumping pid 6174 Reading symbols from od... Reading symbols from /usr/lib/systemd/systemd... Reading symbols from /lib/systemd/libsystemd-shared-247.so... Reading symbols from...

Eclipse Jetty <9.2.9.v20150224 - Sensitive Information Leakage

Eclipse Jetty before 9.2.9.v20150224 allows remote attackers to obtain sensitive information from process memory via illegal characters in an HTTP header. id: CVE-2015-2080 info: name: Eclipse Jetty 9.2.9.v20150224 - Sensitive Information Leakage author: pikpikcu severity: high description: Eclip...

DMA-ProcessDumper

DMA-ProcessDumper PCIe FPGAデバイス上でMemProcFSを使用したDMAを利用し、ユーザーモードで対象プロセスのメモリ全体をダンプします ビルド MemProcFSからleechcore.h、vmmdll.h、vmm.libをDMA-ProcessDumperディレクトリにコピーします Visual Studioを使用してコンパイルします MemProcFSからleechcore.dll、vmm.dll、FTD3XX.dllをDMA-ProcessDumper\x64ディレクトリにコピーします 使用方法 DMA-ProcessDumper.exe...

KeePass-CVE-2023-32784-Exploitation-and-Defense

KeePass メモリリーク脆弱性 CVE-2023-32784: エクスプロイトと防御アーキテクチャ 目的 KeePass Password Safe v2.53 における CVE-2023-32784 脆弱性を分析し、メモリダンプによるマスターパスワード抽出を実証し、堅牢な検出および緩和策を設計することを目的とする。 脆弱性 KeePass はマスターパスワード入力に独自の SecureTextBoxEx を使用しており、入力された全ての文字に対してプロセスのアドレス空間に文字列断片が残る。実行中のプロセスの .DMP...

watcher

アンチリバースシェル こんにちは、私の名前はthemoon（別名shalev）です。このプロジェクトは、セキュリティが低いサーバーを運用している人々を支援するために作成しました。このプロジェクトを使用して、リバースシェルを試みる攻撃者からコンピュータを保護できます。 このプロジェクトについての情報 このプロジェクトの動作はこちらで確認できます https://miro.com/app/board/uXjVGAn3Ml8=/?sharelinkid=431140843238 リバースシェル 不審なプロセスとコマンド実行の検出...

varc

varc 휘발성 아티팩트 수집기 varc는 시스템에서 휘발성 데이터의 스냅샷을 수집합니다. 시스템에서 발생하는 상황을 알려주며, 특히 보안 사고를 조사할 때 유용합니다. 시스템에서 발생하는 상황을 이해하기 위해 다양한 데이터 조각을 포함하는 zip 파일을 생성합니다: JSON 파일 예: 실행 중인 프로세스와 해당 프로세스가 만드는 네트워크 연결 실행 중인 프로세스의 메모리 프로세스별. 또한 메모리에서 로그 및 텍스트 데이터를 추출하기 위해 캐버링됩니다. 활성 연결의 Netstat 데이터 열린 파일의 내용 예: 실행 중인 바이너...

CVE-2026-103764

Mooncake transfer engine before 0.3.13 contains an untrusted pointer dereference in ServerSession::readHeader that allows unauthenticated attackers to read and write arbitrary process memory via the TCP transport data port. Attackers can send a crafted SessionHeader with arbitrary addr and size...

memscan

memscan 在进程的内存空间中搜索字符串、正则表达式、磁条卡磁道中的信用卡号码 内存/进程扫描器 由 Matt Lewis 编写，NCC Group 2014 由 Tom Watson 更新，NCC Group 2015 感谢 Jesse Bullock 提供了许多好主意 由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.com/ 由 Matt Lewis 和 Tom Watson 开发，matt dot lewis at nccgroup dot com & tom dot watson at nccgroup dot com...