TopazTerminator

TopazTerminator F, Another driver got burned.. I was gatekeeping wsftprm.sys driver for a while ; but since someone posted a public POC, I'm ungatekeeping it. We all know it'll get added to the driver blocklist soon, so here's my implementation for the same — in C This project exploits the...

CVE-2025-61156

CVE-2025-61156 在 ThreatFire System Monitor（v4.7.0.53）的内核模式 TfSysMon.sys 组件中发现了一个漏洞，允许非特权用户以内核模式权限执行任意进程终止操作。因此，PPL 和受保护的系统进程可以被强制停止，包括但不限于反恶意软件、EDR 解决方案、代理客户端等。这可能导致本地 EDR 绕过 和拒绝服务 。 如上所述，由于缺少适当的 DACL 来限制哪些用户能够或不能打开此驱动程序的 HANDLE，包括非管理员在内的低权限用户可以通过此易受攻击的驱动程序以内核权限自由终止 PPL 和其他受保护进程，或导致本地拒绝服务。...

Reaper

「💀」 About Reaper Reaper is a proof-of-concept designed to exploit BYOVD Bring Your Own Vulnerable Driver driver vulnerability. This malicious technique involves inserting a legitimate, vulnerable driver into a target system, which allows attackers to exploit the driver to perform malicious action...

BYOVD-DriverKiller

BYOVD-DriverKiller ⚠️ Aviso : Este proyecto es estrictamente educativo y demostrativo. No está pensado para utilizarse en un contexto malintencionado. El objetivo es aprender la metodología de ingeniería inversa y los pasos de explotación de un driver de Windows. Aquí explico el proceso que seguí...

forti-research

Fortinet fortimon374.sys - 通过未认证终止命令绕过 PPL 概述 Fortinet 的 fortimon374.sys 内核驱动（FortiClient 的“反漏洞利用”微过滤器）中存在一个漏洞，允许任何本地管理员通过向一个未认证的通信端口发送 8 字节消息，终止任意 进程——包括受 PPL（Protected Process Light）保护的进程，如 Windows Defender MsMpEng.exe 和 lsass.exe 。 没有缓冲区溢出。没有堆喷射。没有 ROP 链。只需 8 个字节。 漏洞详情 字段| 值 ---|--- 驱动|...

CVE-2026-19193-PoC

CVE-2026-19193 - 概念验证 通过 Jiangmin 杀毒软件内核驱动（kvcore.sys）中未经认证的 Minifilter 消息处理程序实现任意进程终止 受影响资产： 产品：Jiangmin Antivirus V21 组件：kvcore.sys（核心内核驱动） 版本：1.23.6.27 SHA-256 哈希：AE4ABB650C7DF1D3654AFC814617DE6F6589DC2C3BE434154B3BE0F6521E2259 严重性 高 - 7.8 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 漏洞描述...

WinDefenderKiller

WinDefenderKiller PermanentDisablefromRegistry 用于通过注册表项永久禁用 Windows Defender 的 C++ 代码 只需编译并执行即可！ 当我重启它时： BYOVDWindowsDefenderKiller 该模块实现了 BYOVD（自带易受攻击驱动程序，Bring Your Own Vulnerable Driver）技术，通过持续终止 Windows Defender 的进程来禁用它。 加载一个已签名的易受攻击驱动程序，以获得内核级访问权限，从而使程序能够在循环中反复终止 MsMpEng.exe 服务。 驱动程序...

GhostDriver

GhostDriver 👻 关于 GhostDriver 是一款基于 Rust 构建、利用 BYOVD 技术的杀软杀手工具。 快速开始 1. 从 rust-lang.org 安装 Rust 2. 克隆：git clone https://github.com/BlackSnufkin/GhostDriver.git 3. 构建：cargo build --release --target=x8664-pc-windows-msvc 4. 运行：执行 GhostDriver 二进制文件 用法： root@kitploit: GhostDriver.exe 2.0 BlackSnufkin...

CVE-2025-1055-poc

CVE-2025-1055-poc 使用 K7RKScan.sys 实现 CVE-2025-1055 和 CVE-2025-52915 的 PoC。此 PoC 利用 0x222018 IOCTL 终止任意进程。 使用方法 安装驱动： root@kitploit: sc.exe create K7RKScan1516.sys binPath=C:\Users\Administrator\Downloads\K7RKScan1516.sys type=kernel && sc.exe start K7RKScan1516.sys 运行 PoC： root@kitploit:...

CVE-2018-6606

CVE-2018-6606 这用于终止任何PID。 已在Windows 10（64位，Flare VM）上测试。 需要管理员权限。 可能需要一些调整——参见resource.rc。 工具链 下载： https://github.com/brechtsanders/winlibsmingw/releases/download/15.2.0posix-13.0.0-ucrt-r6/winlibs-x8664-posix-seh-gcc-15.2.0-mingw-w64ucrt-13.0.0-r6.zip 设置： 解压到C:\mingw64 将C:\mingw64\bin添加到PATH 版本：...

BadRentdrv2

BadRentdrv2 私が悪用した脆弱なドライバー（BYOVD）で、市場のいくつかのEDRやアンチウイルスソフトウェアを無効化し、動作不能にすることができます。x32とx64の両方で動作します。 どのように動作するか？ より広い攻撃範囲を狙い、従来のx32アーキテクチャをターゲットにしてコンパイルします。 管理者権限のコマンドプロンプトで、次のコマンドラインを使用します： root@kitploit: BadRentdrv2.exe これにより、保護されたプロセスを難なく強制終了できます。...

ws: ws: Denial of Service via memory exhaustion from small WebSocket fragments

A flaw was found in ws, an open source WebSocket client and server. A remote attacker can exploit this memory exhaustion vulnerability by sending a high volume of exceptionally small fragments and data chunks. This action forces the affected component to allocate and hold structural wrappers that...

CVE-2025-61155

CVE-2025-61155 — Terminación arbitraria de procesos en GameDriverX64.sys Un controlador anti-cheat firmado en modo kernel — GameDriverX64.sys, incluido con Tower of Fantasy Hotta Studio / Perfect World — permite que cualquier usuario local sin privilegios termine procesos arbitrarios , incluidos...

ws: ws: Denial of Service via memory exhaustion from small WebSocket fragments

A flaw was found in ws, an open source WebSocket client and server. A remote attacker can exploit this memory exhaustion vulnerability by sending a high volume of exceptionally small fragments and data chunks. This action forces the affected component to allocate and hold structural wrappers that...

KillChain

KillChain ?? 免责声明： 本项目严格用于教育和安全研究目的 。作者不对因使用本工具而导致的任何滥用、损害或非法活动负责。请仅在隔离的实验环境中并在获得明确许可的情况下使用。 概述 KillChain 是一款用户态工具，利用存在漏洞的内核驱动程序（ProcessMonitorDriver.sys，CVE-2026-0828）从用户空间终止受保护进程。它通过自定义 IOCTL 接口与内核通信，绕过标准进程保护机制。 该工具将驱动程序二进制文件直接嵌入可执行文件中，运行时将其提取到临时位置，注册为内核服务，通过 NtLoadDriver 加载，并通过 DeviceIoControl...

CVE-2025-60349

CVE-2025-60349：Pxscan 任意进程终止 在 Prevx v3.0.5.220 中发现了一个问题，攻击者可通过向 pxscan.sys 驱动程序发送 IOCTL 代码 0x22E044 来造成拒绝服务。注册表项 HKEYLOCALMACHINE\System\CurrentControlSet\Services\pxscan\Files 下列出的任何进程都将被终止。 由 Dylan Reuter 于 2025 年 8 月发现。 参考： https://nvd.nist.gov/vuln/detail/CVE-2025-60349...

CVE-2026-3796

CVE-2026-3796 在奇安信病毒查杀（QAX Virus Removal）2025-10-22 及更早版本中，受影响的驱动程序 QKSecureIOImp.sys 依赖调用进程的映像来判断其是否被允许与迷你过滤器驱动程序通信。攻击者可通过 DLL 侧加载、进程注入等手法伪装成合法的调用进程映像，向迷你过滤器发送带有特定载荷的消息，从而执行任意进程终止操作，包括受保护进程。 背景 该应用程序用于查杀病毒。其驱动程序导入的函数之一是 ZwTerminateProcess，该函数对传入的待终止进程缺乏校验，导致可执行任意进程终止。此外，驱动程序对调用进程身份仅做了简单检查，可通过 DL...

0xM0nCrush

0xM0nCrush A cross-version Windows process terminator. It loads a signed HONOR kernel driver MonProcessEX.sys, resolves the PID of every target process, and terminates it from kernel context through a single IOCTL. No kernel offsets, no PDB downloads, no build-specific shellcode - the technique...

CVE-2026-36130

PoC 将文件夹添加到锁定列表 重启前，Defender 进程仍在运行 重启后，Defender 进程 MsMpEng.exe 已消失...

BYOVD-CVE-2023-52271-POC

免责声明：本仓库中的代码仅供教育和研究目的使用。切勿在您不拥有或未获明确许可进行测试的系统上使用此代码。任何滥用此代码的行为都可能违反当地、国家或国际法律。 CVE-2023-52271 概念验证 针对 CVE-2023-52271 的 C++ 漏洞利用程序。该代码利用存在漏洞的驱动程序 wsftprm.sys（内核驱动 2.0.0.0），该驱动允许以内核级访问权限终止正在运行的 PPL 进程。主要用于结束 AV/EDR 进程。 NVD 条目...