CobaltStrikeScan

CobaltStrikeScan 扫描文件或进程内存以检测Cobalt Strike信标并解析其配置。 CobaltStrikeScan 扫描Windows进程内存以查找DLL注入（经典注入或反射注入）的证据，并对目标进程内存执行YARA扫描，以检测Cobalt Strike v3和v4信标签名。 或者，CobaltStrikeScan可以对通过绝对或相对路径作为命令行参数提供的文件执行相同的YARA扫描。 如果在文件或进程中检测到Cobalt Strike信标，将解析该信标的配置并显示在控制台中。 克隆此仓库...

Ps-Tools

Ps-Tools，一款用于进攻性行动的高级进程监控工具包。 在对目标进行行动期间，深入了解所进入系统的技术细节是决定下一步关键行动的关键条件。从受感染系统收集并分析正在运行的进程数据，能为我们提供丰富的信息，有助于更好地理解目标组织的IT架构。此外，定期轮询进程数据使我们能够对环境变化做出反应，或侦测到调查活动正在进行中时的触发信号。 为了能够从受感染的终端收集详细的进程数据，我们编写了一套进程工具，将这些高级进程实用工具的功能引入C2框架（如Cobalt Strike）。 有关工具及所用技术的更多信息，请参见以下博客：...

MemITM

MemITM工具是什么？ MemITM（内存中间人）工具的开发目的是为了轻松拦截 Windows 进程内存中的“消息”。我们开发了许多自定义的内存拦截工具，用于在加密前捕获网络消息，或拦截 IPC 消息，并能够检查或修改它们以进行模糊测试。每个工具都高度定制、不通用，用 C/ASM 实现，且不易使用、维护和适配。 MemITM 工具旨在解决这些问题，其组成包括： 一个 IDA Python 脚本，生成“配置”文件，指示拦截点的位置和方式（相对地址、如何找到缓冲区及其大小、如何放置钩子等）； 一个 DLL 文件，将被注入到目标进程中，加载配置并放置钩子； 一个 DLL 文件注入器，将 DL...

shed

Shed - .NET runtime inspector Shed is an application that allow to inspect the .NET runtime of a program in order to extract useful information. It can be used to inspect malicious applications in order to have a first general overview of which information are stored once that the malware is...

p0wnedShell

p0wnedShell PowerShell Runspace 后渗透工具包 作者：Cn33liz 和 Skons 版本：2.6 许可证：BSD 3-Clause 这是什么： p0wnedShell 是一个用 C 编写的恶意 PowerShell 宿主应用，它不依赖 powershell.exe，而是在 PowerShell 运行空间环境（.NET）中执行 PowerShell 命令和函数。它内置了大量恶意 PowerShell 模块和二进制文件，使后渗透过程更加便捷。我们尝试构建一个“全能型”后渗透工具，用于绕过各种防御方案（至少一部分），并集成了所有相关工具。您可以使用它在 Acti...

injectAmsiBypass

Cobalt Strike BOF - 注入AMSI绕过 Cobalt Strike Beacon对象文件BOF，通过代码注入绕过远程进程中的AMSI。 从CobaltStrike运行inject-amsiBypass BOF 它的作用是什么？ 1. 使用提供的PID参数获取远程进程的句柄 hProc = KERNEL32$OpenProcessPROCESSVMOPERATION | PROCESSVMWRITE, FALSE, DWORDpid; 2. 将AMSI.DLL加载到Beacon的内存中，并获取AMSI.AmsiOpenSession的地址 hProc =...

The vulnerability of the FOQUZ platform, related to deficiencies in the authentication process, allows unauthorized users to gain access to protected information.

The vulnerability of the FOQUZ platform is related to deficiencies in the authentication process. Exploiting this vulnerability could allow an attacker, operating remotely, to gain unauthorized access to protected information...

The vulnerability of the FOQUZ platform, related to deficiencies in the authentication process, allows unauthorized users to gain access to protected information.

The vulnerability of the FOQUZ platform is related to deficiencies in the authentication process. Exploiting this vulnerability could allow an attacker, operating remotely, to gain unauthorized access to protected information...

The vulnerability of the FOQUZ platform, related to deficiencies in the authentication process, allows unauthorized users to gain access to protected information.

The vulnerability of the FOQUZ platform is related to deficiencies in the authentication process. Exploiting this vulnerability could allow an attacker, operating remotely, to gain unauthorized access to protected information...

ATMMalScan

简介 ATMMalScan 是一款适用于 Windows 7 及以上版本操作系统的命令行工具，可帮助在数字取证与事件响应过程中搜索 ATM 上的恶意软件痕迹。该工具根据指定的文件路径，检查系统的运行进程以及硬盘。扫描系统时，拥有标准权限的用户即可胜任。不过，使用管理员权限运行 ATMMalScan 可获得最佳结果。 已知问题： 目前 ATMMalScan 不支持需要 Unicode 的代码页，这意味着设置为例如西里尔字母或中文等字符的 Windows 操作系统，无法保证呈现有效结果。 要求： 请确保待扫描的 ATM 上至少已安装 Visual C++ Redistributable fo...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

MemoryMapper

内存映射器 内存映射器是一个轻量级库，允许通过用户指定的进程注入或自注入（将程序集注入当前尝试注入的进程）的方式，将原生和托管程序集映射到内存中。该库不仅提供映射程序集的工具，还具备加密、解密和生成各种加密强度数据的能力。 需求 注意: （仅适用于使用内存映射器的运行程序集——不适用于存根/Shellcode） Windows 7 SP1 及更高版本 .NET Framework 4.6.1 功能 探索PE（可移植可执行文件）的结构 从托管和原生程序集中读取资源 使用进程注入和自注入将原生程序集映射到内存 使用进程注入和其他技术将托管程序集映射到内存 获取任意大小文件的字节数组...

DllNotificationInjection

DllNotificationInjection 主要贡献者 描述 DllNotificationInection 是一项新的“无线程”进程注入技术的概念验证，它利用 DLL 通知回调的概念在本地和远程进程中工作。 更详细的配套博文可在此找到： https://shorsec.io/blog/dll-notification-injection/ 它是如何工作的？ DllNotificationInection 通过在远程进程中创建一个新的 LDRDLLNOTIFICATIONENTRY 来工作。它通过修补列表头部的 List.Flink 和列表中第一个条目（现在是第二个）的...

avet

反病毒逃避工具 AVET 因技术发展和时间限制不再继续开发。 AVET 是一款反病毒逃避工具，旨在让渗透测试人员的工作更轻松，并用于实验反病毒逃避技术以及恶意软件使用的其他方法。 关于 v2.4 的新功能以及过往版本更新的概览，请查看 CHANGELOG 文件。 目录 安装 Docker AVET 简易方式 AVET 常规方式 文档（ 点击展开 ） 数据检索方法 加密与编码 沙箱逃逸 附加命令执行 辅助工具 AVET 与 Metasploit psexec 对抗样本 更多 部分特性 当运行由 msfpayload 等工具生成的 .exe 文件时，该文件通常会被杀毒软件识别 AVET...

QLOG

2022年7月更新 我们创建QLOG是为了更好地了解Windows ETW。QLOG为Windows上的进程创建事件提供了丰富的日志记录。我们已经停止了对QLOG的开发，因为与此同时，一些免费工具已经发布，它们使用ETW进行遥测，并且比QLOG做得更好。好奇吗？请查看Nextron的Aurora Agent。 Qlog是什么 QLOG不使用API钩子，也不需要在目标系统上安装驱动程序，QLOG仅使用ETW来获取其遥测数据。目前QLOG仅支持"进程创建"事件。QLOG作为Windows服务运行，但如果您希望直接将丰富的事件流式传输到控制台，也可以以控制台模式运行。 它是如何工作的...

sysflow

SysFlow: 云原生系统遥测管道 此仓库托管所有 SysFlow 项目的文档和问题追踪。 快速参考 文档 : SysFlow 文档 获取帮助的渠道 : SysFlow 社区 Slack 提交问题的位置 : GitHub 问题追踪器 此描述的来源 : 仓库的 readme 历史 Docker 镜像 : docker hub | GHCR 什么是 SysFlow？ SysFlow 遥测管道是一个用于监控云工作负载并创建性能和安全分析的框架。该项目的目标是构建系统遥测所需的所有基础设施，以便用户能够专注于在可扩展的、通用的开源平台上编写和分享分析。遥测管道的核心是一种名为 SysFlow...

Sharperner

Sharperner Sharperner 是一款使用 CSharp 编写的工具，用于生成带有 AES 和 XOR 混淆 shellcode 的 .NET 投放器。生成的执行文件可能绕过签名检查，但我不确定它能绕过启发式扫描。 功能 PE 二进制 进程空洞（Process Hollowing） PPID 欺骗（PPID Spoofing） 随机生成的 AES 密钥和 IV 最终的 Shellcode、密钥和 IV 被转换为摩尔斯电码 : .NET 二进制 AES + XOR 加密的 shellcode APC 进程注入 explorer.exe 随机函数名称 随机生成的 AES 密钥和 ...

hidden

Hidden 🇺🇦 Hidden 是为了满足逆向工程和研究任务而开发的解决方案。这是一个带有用户态接口的 Windows 驱动程序，用于隐藏你 Windows 机器上的特定环境，例如已安装的 RCE 程序（如 procmon、wireshark）、VM 基础设施（如 vmware tools）等。 功能 隐藏注册表项和值 隐藏文件和目录 隐藏进程（ 实验性，可能不稳定 ） 保护特定进程 从隐藏和保护功能中排除特定进程 用于与驱动程序交互的用户态接口（库和 CLI） 等等 系统要求 Windows Vista 及以上版本，x86 和 x64 推荐的构建环境 Visual Studio 201...

qsreplace

qsreplace Accept URLs on stdin, replace all query string values with a user-supplied value, only output each combination of query string parameters once per host and path. Usage Example input file: ▶ cat urls.txt https://example.com/path?one=1&two=2 https://example.com/path?two=2&one=1...

python-haystack

python-haystack 内存取证 |travis| |coverage| |landscape| |pypi| |docs| 快速开始 docs/ 文件夹中的 快速使用指南 。 docs/ 文件夹中的 Haystack-reverse CLI 。 更多文档 介绍 python-haystack 是一个堆分析框架，专注于搜索和逆向已分配内存中的 C 结构体。 第一个功能/API 是 SEARCH 函数。 它可以在进程内存转储或活动进程内存中搜索已知的记录类型。 第二个功能/API 是扩展 python-haystack-reverse 中的 REVERSE 函数。...