Enumprotections_BOF

Enumprotections BOF Este BOF se puede utilizar para enumerar los procesos del sistema e identificar el nivel de protección de cada uno. También se devuelve información adicional, como la relación con servicios, usuario, sesión y ruta. Esta información, en combinación, puede utilizarse para...

windows-api-function-cheatsheets

Hoja de referencia de funciones de la API de Windows Contacto 🌨️ Snowcrash: [email protected] Tabla de contenidos Hoja de referencia de funciones de la API de Windows Operaciones de archivos Gestión de procesos Gestión de memoria Gestión de hilos Gestión de bibliotecas de vínculos dinámicos...

magento2-cosmic-sting-patch

Parche de Magento 2 para CVE-2024-34102 también conocido como Cosmic Sting Una solución alternativa como extensión de Magento 2 para corregir la vulnerabilidad XXE CVE-2024-34102 también conocida como Cosmic Sting. Si no puede actualizar Magento o no puede aplicar el parche oficial, pruebe esta. ...

ring3-kit

ring3-kit 使用 NT Hook NtQuerySystemInformation 从任务管理器隐藏进程。一个简单的 Ring-3（用户态）rootkit。 如何实现 使用我们自己的函数 Hook API 函数 NtQuerySystemInformation，该函数从任务管理器隐藏进程 被 Hook 的函数会被调用替代原函数 DLL 被注入到 Taskmgr.exe，以便有虚拟内存空间来执行我们的 Hook 代码 免责声明 开发者 Josh Schiavone 不对本简单 rootkit 的误用负责。请勿将此 rootkit...

IHxExec

IHxExec POC para ejecutar código arbitrario en nombre de otro usuario. Puedes leer más sobre la técnica aquí: https://cicada-8.medium.com/process-injection-is-dead-long-live-ihxhelppaneserver-af8f20431b5d https://www.youtube.com/watch?v=bK3ufqZxkxc Nota: el vídeo adjunto:...

fpicker

fpicker fpicker 是一款基于 Frida 的模糊测试套件，提供了多种进程内模糊测试模式，例如 AFL++ 模式或被动追踪模式。它应能在 Frida 支持的所有平台上运行。 安装说明 构建与运行 创建模糊测试 harness 模式与配置 关于 fpicker 的背景信息以及其设计思路，可在一篇博客文章中找到（该文章由本人撰写）。 fpicker 基于先前在 ToothPicker 上的工作，后者是在我硕士论文期间开发的。fpicker 的大部分功能是在我任职于 ERNW 期间的工作时间内完成的。 要求与安装 运行 fpicker 所需的条件： fridacompile 用于将...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

fake-sandbox

伪造沙箱进程 FSP 这个小脚本会模拟分析工具、沙箱和虚拟机软件的虚假进程，有些恶意软件会试图避开这些进程。 你可以从这里下载由 @x0rz 编写的原始脚本（顺便说一句，感谢他）。 你也可以从根目录下载我稍作优化的脚本。该文件名为 fsp.ps1。这个脚本也用于 FSP 安装程序中。 脚本功能 某些（更高级的）间谍软件只要这些创建的进程在运行，就可能停止正常执行。 要求：Powershell（Windows 7 及更高版本预装），仅此而已。 完全不占用系统负载（几乎）。 安装程序功能 自动将脚本安装到你的自启动目录，这样你就不必在每次重新登录时手动执行它。 要求：仅需 Powershel...

cnitch

cnitch cnitch（snitch 或 container snitch）是一个简单的框架和命令行工具，用于监控 Docker 容器以识别任何以 root 身份运行的进程。 为什么这是一件坏事？如果您还没有访问过 can I haz non-privileged containers? by mhausenblas，那么我建议您现在就去那里获取所有信息。 在开发 cnitch 时，我遇到了一个我认为是应用程序错误的问题：cnitch 报告自身在 Docker 容器中是一个 root 进程。我不确定为什么会这样，因为 Dockerfile 明确声明我正在创建一个不以 root...

tarian

Tarian 我们希望以开源方式维护此项目，以对抗针对我们喜爱的 Kubernetes 生态系统的攻击。通过持续的贡献，我们可以作为社区共同应对威胁。 通过预先注册源代码签名、运行时进程监控、运行时源代码监控、变更检测、告警，以及基于检测的预配置和即时响应操作，并共享检测结果，保护在 Kubernetes 上运行的应用免受恶意攻击。从勒索软件中拯救您的 K8s 环境！ Tarian 如何工作？ Tarian 作为 sidecar 容器运行在主应用 Pod 中，监控进程 ID、运行中的进程数量、父子进程关系变化、文件系统中属于应用的文件和目录、文件签名变更等。Tarian...

ProcessInjection

ProcessInjection El programa está diseñado para realizar inyección de procesos. Actualmente la herramienta soporta 5 técnicas de inyección de procesos. 1 Vanilla Process Injection 2 DLL Injection 3 Process Hollowing 4 APC Queue 5 KernelCallbackTable Injection La herramienta acepta shellcode en 4...

CVE-2026-74939-escape-the-mac-n-cheese-box

CVE-2026-74939 — escalada de privilegios content→parent en Firefox Prueba de concepto para una evasión del sandbox en Firefox 149.0a1 nightly 2fbc0748c4, anterior al parche. Un proceso de contenido comprometido falsifica un mensaje IPDL que hace que el parent cargue una página en un proceso...

CVE-2026-105797

SimpleChat is a secure AI conversation application with personal and group workspaces for document-grounded interactions. In versions 0.261.003 and 0.261.027, an authorization ordering flaw in POST /api/user/plugins allows an authenticated low-privileged user to omit the top-level MCP type so tha...

NoArgs

NoArgs：操纵和隐藏进程参数 Twitter: @AzizWho 免责声明：仅用于教育目的 本工具仅供教育目的使用。我对任何滥用行为不负责任，所有用户必须遵守适用法律。禁止非法使用。 简介 NoArgs 是一款旨在动态伪造和隐藏进程参数且保持不被检测的工具。它通过挂钩 Windows API 来动态操纵 Windows 内部机制，从而实现对进程参数的隐蔽更改。 默认 Cmd： Windows 事件日志： 使用 NoArgs： Windows 事件日志： 功能概述 该工具主要通过拦截 Windows API 函数 CreateProcessW...

inject-assembly

inject-assembly - 在现有进程中执行 .NET 该工具是 Cobalt Strike 传统 fork 和 run 执行方式的替代方案。加载器可注入任意进程，包括当前 Beacon。长时间运行的程序集将继续执行并将输出发送回 Beacon，类似于 execute-assembly 的行为。 inject-assembly 包含两个组件： 1. BOF 初始化器 ：一个小型程序，负责将程序集加载器注入远程进程并附带任意参数。它使用 BeaconInjectProcess 执行注入，这意味着此行为可通过 Malleable C2 配置文件或进程注入 BOF（从 4.5...

inject-assembly

inject-assembly - Execute .NET in an Existing Process This tool is an alternative to traditional fork and run execution for Cobalt Strike. The loader can be injected into any process, including the current Beacon. Long-running assemblies will continue to run and send output back to the Beacon,...

CVE-2026-36130

PoC Añade la carpeta al bloqueo Antes del reinicio, el proceso de Defender sigue en ejecución Después del reinicio, el proceso de Defender MsMpEng.exe ha desaparecido...

EUVD-2026-93426

SimpleChat is a secure AI conversation application with personal and group workspaces for document-grounded interactions. In versions 0.261.003 and 0.261.027, an authorization ordering flaw in POST /api/user/plugins allows an authenticated low-privileged user to omit the top-level MCP type so tha...

CVE-2026-105797

In SimpleChat versions 0.261.003 and 0.261.027 , an authorization ordering flaw in POST /api/user/plugins enables an authenticated low-privileged user to bypass security checks. By omitting the top-level MCP type , the _reject_non_admin_mcp_stdio inspection is skipped before the type is restored ...

thematrix

TheMatrix Este proyecto fue creado para facilitar el proceso de análisis de malware. El objetivo es crear un binario activador cuyo propósito es cargar un binario definido por el usuario y monitorizar la ejecución mediante hooks de la API Win32. Los datos relevantes se guardan en disco. El código...