aquaman

🔱 Aquaman 🔱 The only independent credential proxy for AI agents: bring-your-own-vault isolation & least-privilege request policies. Your keys stay where you already keep them, never in the agent's memory. Compatible with 1Password, keychain, keepassxc and many others. You set up Claude Code, Code...

Hawk

Hawk 实时静默拦截 SSH 和 SU 凭据 Hawk 监控 sshd 和 su 进程，通过 ptrace 从内存中提取密码，不修改目标进程。零写入。纯只读凭据收集。 演示 工作原理 Hawk 利用 Linux 的 /proc 文件系统发现 SSH 和 SU 进程，然后使用 ptrace 附加并拦截系统调用。当密码认证发生时，它在 write 系统调用期间直接从进程内存读取密码——对目标进程完全透明。凭据通过 webhook 外泄或打印到 stdout。 深入探讨： 博客文章 构建 GOOS=linux GOARCH=amd64 CGOENABLED=0 go build -o haw...

fake-sandbox

伪造沙箱进程 FSP 这个小脚本会模拟分析工具、沙箱和虚拟机软件的虚假进程，有些恶意软件会试图避开这些进程。 你可以从这里下载由 @x0rz 编写的原始脚本（顺便说一句，感谢他）。 你也可以从根目录下载我稍作优化的脚本。该文件名为 fsp.ps1。这个脚本也用于 FSP 安装程序中。 脚本功能 某些（更高级的）间谍软件只要这些创建的进程在运行，就可能停止正常执行。 要求：Powershell（Windows 7 及更高版本预装），仅此而已。 完全不占用系统负载（几乎）。 安装程序功能 自动将脚本安装到你的自启动目录，这样你就不必在每次重新登录时手动执行它。 要求：仅需 Powershel...

zettelforge

ZettelForge 专为网络威胁情报打造的智能体记忆系统。 当资深分析师离职时，两三年的语境也随之消失——客户环境、过往调查、攻击者TTP、误报模式，以及每一个来之不易的“等等，我们之前见过这个”。ZettelForge 是一个智能体记忆系统，旨在让语境始终留在团队中。 它能够从分析师笔记和威胁报告中提取 CVE、威胁行为者、IOC 以及 ATT&CK 技术，解析别名（APT28 = Fancy Bear = STRONTIUM = Sofacy），构建 STIX 2.1 知识图谱，并以自然语言将过往的每一项调查回馈给分析师——以及通过 MCP 回馈给 Claude...

aegis

Aegis 内核模式进程保护驱动程序，使用 ObRegisterCallbacks 从句柄中剥离内存访问权限。基础实现拦截句柄创建，并从未经授权的访问尝试中移除 PROCESSVMREAD/WRITE/OPERATION。 注意： 如果 GIF 没有动画，请在 Imgur 上直接查看 概述 驱动在高度 321123 注册 OB 回调，拦截 OBOPERATIONHANDLECREATE 和 OBOPERATIONHANDLEDUPLICATE 操作。当进程尝试打开受保护目标的句柄时，我们根据白名单（explorer.exe, csrss.exe, svchost.exe,...

lfi

轻量级故障隔离 LFI 欢迎来到轻量级故障隔离（LFI）项目的顶级仓库。 什么是 LFI？ LFI 是一个用于沙箱化原生代码的系统。与 WebAssembly 和 Native Client 类似，LFI 在进程内（即与宿主应用程序相同的地址空间）隔离沙箱化代码。目前，我们支持 Arm64 和 x86-64 目标，并有实验性的 RISC-V 支持。 LFI 从底层设计用于沙箱化现有代码，例如 C/C++ 库（包括汇编代码）和设备驱动程序。 LFI 追求以下目标： 兼容性：LFI 可用于沙箱化几乎所有现有的 C/C++/汇编代码而无需修改，可与现有系统调用接口配合等。 性能：LFI...

STProcessMonitorBYOVD

STProcessMonitorBYOVD 参考：https://bbs.kafan.cn/thread-2288675-1-1.html 用法： 1. 将存在漏洞的驱动程序放在 exe 所在目录下。版本 11.11.4.0（较旧版本）存在 CVE-2025-70795 / CVE-2026-0828，兼容参数 /Kill；版本 11.26.18（更新版本）兼容参数 /Terminate。 2. /Init - 安装驱动程序。/Kill - 利用 CVE-2025-70795 / CVE-2026-0828 终止进程。/Terminate - 使用更新后的驱动程序终止进程。/Uninst...

Chrome-App-Bound-Encryption-Decryption

ChromElevator Chrome App-Bound Encryption Decryption 🚀 概述 一个后渗透利用工具，演示了如何完整地在内存中绕过 Chromium 的 应用绑定加密（App-Bound Encryption, ABE） 。本项目利用 基于直接系统调用（Direct Syscall）的反射式进程镂空（Reflective Process Hollowing） 来以挂起状态启动一个合法的浏览器进程，隐蔽地注入载荷以劫持其身份和安全上下文。这种 白加黑（Living-off-the-Land, LOTL）...

openedr

OpenEDR 我们 OpenEDR 坚信创建一个源代码对公众完全开放的网络安全平台，使产品和服务能够共同配置和管理。EDR 是我们的起点。 OpenEDR 是功能完备的 EDR 解决方案。它是全球最复杂、最有效的 EDR 代码库之一，在社区的支持下，它将变得更好。 OpenEDR 免费且源代码对公众开放。OpenEDR...

pacumen

无需安装。但请运行 python setup.py build 以自动安装依赖项。...

0xKern3lCrush

0xKern3lCrush 针对两个真实案例的 Windows BYOVD 研究：Safetica ProcessMonitorDriver （CVE-2026-0828）以及被 MedusaLocker 滥用的 ThrottleStop 驱动 （CVE-2025-7771）。本仓库记录了暴露的接口、每个接口所能达到的 特权结果，以及如何检测此类滥用。它仅附带安全的用户态侦察代码： 没有内核态代码，没有 IOCTL 调用，也没有进程终止例程。 什么是 0xKern3lCrush？ 端点防护越来越多地使用保护级别和受限令牌来保护自身进程，因此攻击者 借助“自带易受攻击驱动”（Bring...

tarian

Tarian 通过预先注册受信任的进程和受信任的文件签名，保护运行在 Kubernetes 上的应用程序免受恶意攻击。Tarian 会检测未知进程和对已注册文件的更改，然后发送告警并采取自动化操作。保护您的 K8s 环境免受勒索软件侵害！ 我们希望将此项目作为开源项目维护，以对抗针对我们最喜爱的 Kubernetes 生态系统的攻击。通过持续贡献，我们可以作为社区共同应对威胁。 Tarian 是如何工作的？ Tarian 集群代理运行在 Kubernetes 集群中，检测未知进程和对文件的未知更改，将其报告给 Tarian 服务器，并可选择采取操作：删除违规的 Pod。它使用 eBPF...

kekeo

kekeo kekeo is a little toolbox I have started to manipulate Microsoft Kerberos in C and for fun ASN.1 library In kekeo, I use an external commercial library to deal with Kerberos ASN.1 structures: OSS ASN.1/C http://www.oss.com/asn1/products/asn1-c/asn1-c.html It was the only code...

Loki-RS

Loki-RS 用 Rust 重写的 Loki。高性能、多线程的单一二进制 YARA 和 IOC 扫描器。 状态 ：Beta。可用，但仍在积极开发中。 特性 文件和进程内存的 YARA 扫描 yara-x IOC 匹配（MD5/SHA1/SHA256 哈希、文件名模式、C2 指标） 可配置线程数的多线程扫描 归档文件扫描（ZIP） 交互式 TUI，实时统计与控制 通过 syslog 远程日志 UDP/TCP SYSLOG/JSON 生成含详细结果的 HTML 报告 可配置的评分阈值 智能过滤（默认跳过 /proc、/sys、已挂载驱动器） 幻数头检测 JSONL 输出，便于日志摄入...

Hollow

Hollow hollow 是一个 shellcode 加载器生成器。你提供原始 shellcode 二进制文件和一个配置文件，它会生成一个编译好的 Windows PE 加载器，其中内嵌了加密后的 shellcode。 快速入门 二进制文件可在 releases 页面获取，或从源码构建： go build -o hollow . 需要 x8664-w64-mingw32-gcc 进行交叉编译。 在 Arch Linux 上：pacman -S mingw-w64-gcc 在 Debian/Ubuntu 上：apt install gcc-mingw-w64-x86-64 用法...

Chrome-Skia-CVE-2024-8636

修复于 Chrome M128：https://chromereleases.googleblog.com/2024/09/stable-channel-update-for-desktop10.html 复现步骤： 1. 将 chromium.diff 补丁应用到 chromium。 2. 运行 genskpic.py 生成 drawablepicture.skp.hh，然后将生成的文件移动到 src/gpu/commandbuffer/client。 3. 构建并启动浏览器。 4. 打开 index.html 触发 PoC。 5. GPU 进程将崩溃。...

uac

Unix-like Artifacts Collector UAC About • Documentation • Main Features • Supported Operating Systems • Usage • Contributing • Support • License 🔎 About UAC UAC Unix-like Artifacts Collector is a powerful and extensible incident response tool designed for forensic investigators, security analysts...

CVE-2023-32784-kdbxpassdmp

keepassdumper.py Puerto en Python de vdohney/keepass-password-dumper CVE-2023-32784 — todo el crédito de la implementación original en C y de la técnica subyacente pertenece a vdohney. El script escanea un volcado de memoria de un proceso en busca de las cadenas de renderizado residuales que el...

PyMemoryEditor

PyMemoryEditor A pure-Python library built on ctypes that lets you inspect, modify and search the memory of any running process in a few lines of Python — Cheat Engine workflows on Windows, Linux and macOS! Read, write and scan the memory of any process — straight from Python. One unified API...

CVE-2019-11043

CVE-2019-11043 0th3rs 安全团队 ====================== 在 PHP 7.1.x 低于 7.1.33、7.2.x 低于 7.2.24 以及 7.3.x 低于 7.3.11 的版本中 已在 PHP 7.2.20/7.3.10 下测试 使用说明 1、较为稳定,只要爆破出query长度和Header头字段长度 2、autosession检测漏洞存在性 3、实现判断目标worker进程数实现健壮性 4、全worker进程污染 Nginx 配置 location ^/.php/|$ fastcgisplitpathinfo ^.+?.php/.$;...