hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

PortBender

概述 PortBender 是一个 TCP 端口重定向工具，允许红队操作员将发往一个 TCP 端口（例如 445/TCP）的入站流量重定向到另一个 TCP 端口（例如 8445/TCP）。PortBender 包含一个攻击者脚本，操作员可以利用该脚本将工具与 Cobalt Strike 集成。但由于该工具以反射 DLL 形式实现，它可以与任何支持通过“ReflectiveLoader”接口加载模块的 C2 框架集成 1。该工具还允许操作员模拟 Duqu 2.0 威胁行为体所使用的“PortServ.sys”能力中的后门/持久化机制。 设计 PortBender 利用 WinDivert...

memhunter

Memhunter Automated hunting of memory resident malware at scale This project is WORK IN PROGRESS. Expect feature changes and binary releases on the upcoming weeks. Overview Memhunter is an endpoint sensor tool that is specialized in detecing resident malware, improving the threat hunter analysis...

pe-sieve

简介 PE-sieve 是一款帮助检测系统中运行的恶意软件，并收集潜在恶意材料用于进一步分析的工具。它能够识别并转储被扫描进程中的多种植入物：替换/注入的PE、shellcode、钩子以及其他内存补丁。 可检测内联钩子、Process Hollowing、Process Doppelgänging、反射式DLL注入等。 PE-sieve 旨在成为一个轻量级引擎 ，专门用于一次扫描一个进程 。它可以构建为EXE或DLL。DLL版本暴露了一个简单的API，可以轻松与其他应用程序集成。 📦 使用库：libPEConv 帮助 ❓ 常见问题解答 - 常见问题 📖 阅读 Wiki 🤔...

Cooolis-ms

Cooolis-ms Cooolis-ms 是一个支持Metasploit Framework RPC的一个服务端，用于给Shellcode和PE加载器工作，在一定程度上绕过反病毒软件的静态查杀，同时可以让Cooolis-ms服务端与Metasploit服务器进行分离。 加载器执行流程： 1. 连接Cooolis-Server 2. Cooolis-Server连接Metasploit RPC服务端 3. 取回Payload然后发送回加载器 核心技术： 静态恶意代码逃逸（第六课） 该项目的优点 体积小（ Docker部署（推荐） Bilibili: $ git clone...

sRDI

sRDI - Shellcode 反射式DLL注入 sRDI 允许将 DLL 文件转换为位置无关的 shellcode。它试图成为一个功能完整的 PE 加载器，支持正确的节权限、TLS 回调和完整性检查。可以将其视为一个绑定了打包 DLL 的 shellcode PE 加载器。 功能通过两个组件实现： C 项目，编译 PE 加载器实现（RDI）为 shellcode 转换代码，将 DLL、RDI 和用户数据通过引导程序连接在一起 本项目包含以下元素： ShellcodeRDI： 编译 DLL 加载器的 shellcode NativeLoader： 必要时将 DLL 转换为...

C2-Tool-Collection

Outflank - C2工具集 本仓库包含一系列通过BOF和反射式DLL加载技术与Cobalt Strike（以及其他可能的C2框架）集成的工具。 这些工具不属于我们的商业OST产品，编写它们的目的是回馈我们所感激的社区。目前该仓库包含一个BOF（信标对象文件）工具部分和一个其他工具部分（漏洞利用、反射式DLL等）。 所有这些工具均由我们的团队成员编写，并在红队任务中使用。随着时间的推移，我们将添加更多工具或使用新技术/功能修改现有工具。 工具集内容 该工具集目前包含以下工具： 信标对象文件 BOF 名称| 描述 ---|--- AddMachineAccount| 滥用默认的Acti...

BeatRev

BeatRev 版本 2 免责声明/责任 以下工作是概念验证，旨在使恶意软件能够针对特定受害者进行“密钥绑定”，从而挫败恶意软件分析人员的工作。 我不对本项目中所包含的任何想法或代码的恶意使用承担任何责任。我提供此研究是为了进一步教育信息安全专业人士，并为恶意软件分析师、逆向工程师和蓝队成员提供额外的培训/思考素材。 TLDR 恶意软件首次在受害者机器上运行时，会使用该受害者的环境数据对实际载荷（一个 RDLL）进行 AES 加密。每次后续运行恶意软件时，它会收集相同的环境信息，对存储在恶意软件内字节数组中的载荷进行 AES...

CVE-2021-1675_RDL_LPE

CVE-2021-1675RDLLPE PrintNightMare LPE提权漏洞的CS 反射加载插件。开箱即用、通过内存加载、混淆加载的驱动名称来ByPass Defender/EDR。 免责声明: 本项目只用于学习交流，请在合理授权范围内谨慎使用。 快速使用 下载本项目: Cobalt Strike 加载插件 用法说明: printnightmarelpe dllpath elevate - PrintNightMare-1675 - choose your listener - exploit 效果展示 默认WinSer 2009环境Window Defender、WinServ...

CVE_2020_0796_CNA

CVE-2020-0796-CNA 根据danigargu提供的POC进行修改，实现了Windows 10的提权复现并根据stephenfewer的反射DLL项目与CobaltStrike文档提供的接口开发了AggressorScripts。 本仓库仅仅为了交流反射DLL注入的实现与测试，因此不提供Release版本，请自行编译 具体还未进行稳定性测试，欢迎交流 影响版本（本地提权+远程蓝屏） Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for x64-based Systems Windows 1...

doublepulsar-usermode-injector

Autor: Matt Hillman [email protected] - @sp1nl0ck Empresa: Countercept @countercept Sitio web: https://countercept.com Una utilidad que usa el shellcode en modo usuario de la carga útil de DOUBLEPULSAR para cargar de forma reflectiva un DLL arbitrario en otro proceso, para su uso en la prueb...

ReflectiveDLLInjection

Acerca de La inyección de DLL reflectante es una técnica de inyección de bibliotecas en la que se emplea el concepto de programación reflectante para realizar la carga de una biblioteca desde memoria en un proceso anfitrión. Como tal, la biblioteca es responsable de cargarse a sí misma...

PrintSpoofer-ReflectiveDLL

PrintSpoofer 详情 PrintSpoofer 是一款通过利用 Windows 打印后台处理程序服务（CVE-2019-1040 / CVE-2019-1019）中的漏洞实现本地权限提升的工具。本项目以 Reflective DLL 格式实现了 PrintSpoofer 漏洞利用，使其适用于 Cobalt Strike 等渗透测试框架。 目录 概述 工作原理 技术细节 要求 构建 使用方法 项目结构 安全免责声明 参考资料 概述 PrintSpoofer 利用 Windows 打印后台处理程序服务中的一个漏洞，该漏洞允许低权限用户获取 SYSTEM...

freeMetsrvLoader

freeMetsrvLoader Fork de freeBokuLoader que apunta al paquete de DLL reflectiva inicial de Metsrv y lo libera. Uso meterpreter executebof freeMetsrvLoader.x64.o Se puede automatizar con InitialAutoRunScript o AutoRunScript...

CoercedPotatoRDLL

Coerced Potato Reflective DLL Escalada de privilegios de servicio NT a SYSTEM utilizando el privilegio SeImpersonateToken y las funciones MS-RPRN. Muy basado en https://github.com/Prepouce/CoercedPotato Cargador reflectante de https://github.com/stephenfewer/ReflectiveDLLInjection. Instalación...

maalik

Maalik Framework de Pivoting de Red y Post-Explotación. Características Características de la Consola Notificación de escritorio en nueva sesión. Eliminar sesión en línea fácilmente. Construir Cliente Maalik, Fhdawn fácilmente. Valores configurables en settings.ini Shell root. Multihilo, Obtener...

unhook-bof

Este es un Archivo de Objeto Beacon para refrescar DLLs y eliminar sus hooks. El código proviene de la investigación Universal Unhooking de Cylance: https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software Para usarlo: Carga unhook.cna en Cobalt Strike mediante Cobal...

Exploit for Exposure of Sensitive Information to an Unauthorized Actor in Microsoft

PrintSpoofer Details !Licensehttps://img.shields.io/badge...

CVE-2020-7475

A CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component 'Injection', reflective DLL, vulnerability exists in EcoStruxure Control Expert all versions prior to 14.1 Hot Fix, Unity Pro all versions, Modicon M340 all versions prior to V3.20, Modicon M580 all...

MemTracer - Memory Scaner

MemTracer is a tool that offers live memory analysis capabilities, allowing digital forensic practitioners to discover and investigate stealthy attack traces hidden in memory. The MemTracer is implemented in Python language, aiming to detect reflectively loaded native .NET framework Dynamic-Link...