EDRHunt

EDRHunt EDRHuntは、Windowsのサービス、ドライバ、プロセス、レジストリ、WMIをスキャンして、インストールされているEDR（エンドポイント検出および応答）を検出します。EDRHuntの詳細はこちら。 インストール バイナリ リリースセクションから最新のリリースをダウンロードしてください。リリースはwindows/amd64向けにビルドされています。 Go システムにGoがインストールされている必要があります。Go1.17+でテスト済みです。 go install github.com/fourcorelabs/edrhunt/cmd/EDRHunt@master 使用...

deptrust

deptrust / / / / / / / / / / / / / / / / / / / // / / // / / // / ,// ./// ,/// // deptrust 是一款 CLI 工具，用于检查 npm、PyPI、crates.io、Go modules、RubyGems、NuGet、Maven、Packagist、pub.dev、CocoaPods、Hex.pm、Hackage、GitHub Actions 等生态系统中软件包版本是否存在已知漏洞。 它既可作为 CLI 在本机运行，也可作为 MCP 服务器运行。它直接调用公共软件包注册表和 OSV...

oxide_hive

Oxide Hive An exploit for the HiveNightmare/SeriousSAM vulnerability that allows you to read registry hives containing sensitive data without admin privileges. If that doesn't sound like privilege escalation I don't know what does. Usage After building the exploit with cargo build and retrieving...

danish-wordlists

丹麦语词表 用于破解丹麦语密码的丹麦语词表集合 （另请参见 Danish Phone Wordlist Generator 用于按地理区域和/或用途（固定电话、移动电话、服务等）生成丹麦电话号码词表。） 在 Mastodon 上关注我：@[email protected] 文件名| 行数| 描述| 来源 ---|---|---|--- dawiki-2021-11-25.txt| 2600745| 从丹麦语维基百科提取的单词| https://dumps.wikimedia.org/dawiki/20211120/ oldtestament.txt| 21937|...

SessionView

SessionView 一个轻量级的C控制台应用程序，用于枚举和显示Windows Server上的所有用户会话，包括会话GUID。 功能特性 完整的会话枚举 ：列出Windows服务器上的所有活动会话 详细的会话信息 ：显示会话ID、站名称、连接状态、用户名和域 会话GUID检索 ：从Windows注册表中提取每个会话的唯一GUID标识符 连接状态检测 ：显示会话是活动、断开、空闲等状态 整洁的控制台输出 ：格式清晰的输出，便于快速分析会话 系统要求 Windows Server 2012 R2 或更高版本 或 Windows 客户端 Windows 10/11 .NET...

layerleak

layerleak Layerleak 是一个只读的 OCI 镜像密钥扫描器。它无需 Docker 守护进程即可解析公共镜像引用，根据 OCI 摘要验证下载的内容，重建层状态，检查已删除的构件和镜像元数据，并返回经过脱敏、带有来源信息的发现结果。 它支持 Docker Hub、GHCR、Quay、GCR、MCR、Amazon ECR Public 以及其他兼容 OCI 的注册表。结果可以保存为 JSON，并持久化到 PostgreSQL 中供捆绑的 API 使用。 文档 OpenAPI 规范 变更日志 安全策略 贡献指南 此开发树记录了...

ictf-framework

iCTF 框架 3.0 这是 Shellphish 用于举办 iCTF 的框架。 iCTF 框架在 2014 年 Usenix 3GSE 研讨会上发表的一篇论文中进行了描述。 我们发布此框架，希望它能帮助教育者和培训人员举办自己的 A/D CTF。 本框架可免费用于商业用途，但我们能提供的支持有限。 我们计划未来发布更多关于各组件的技术文档；目前，你可以在此找到关于如何创建一场比赛的说明。 如有疑问，请发送邮件至 [email protected]。 免责声明 ：本框架仍在开发中，此版本应视为 BETA 版本。欢迎提交新的 pull request 和 issue : TODO...

swarmer

swarmer 一个用于悄悄地添加注册表项到HKCU的工具，EDR/AV无法察觉发生了什么，即使你没有管理员权限 。 如何使用？ 注意：你只有一次机会这样做，一旦NTUSER.MAN成为你的新注册表配置单元，没有管理员权限就无法更改，所以请确保第一次就把所有修改都做好。 使用 regquery BOF 的结果 1. 从 https://github.com/trustedsec/CS-Situational-Awareness-BOF/tree/master/SA/regquery 获取合适的 reqquery BOF。 2. 执行 execute-bof --opsec...

mscache

mscache 一个用于操作 Windows 注册表中 DCC（域缓存凭据）的工具，主要基于 mimikatz 和 impacket 的工作。 依赖 python2 pycrypto passlib impacket 示例 python mscache.py --security security --system system 转储域缓存凭据 reg query "HKEYLOCALMACHINE\SECURITY\Cache" /v "NL$1" 2018-08-22 06:27:58 username: subuser domain groups: 513, 512 mscache...

SimpleRmiDiscoverer

SimpleRmiDiscoverer 简单的 JMX RMI 扫描工具 完整代码：https://github.com/marcin-wolak/SimpleRmiDiscoverer/blob/master/SimpleRmiDiscoverer.java 该工具为暴露的 Java JMX 提供以下选项： 从 RMI 注册表提取 JMX 端点（IP/名称和 TCP 端口）（使用 -d, --dumponly） 检查从上述 RMI 注册表提取的 IP/名称和 TCP 端口，确认 JMX 对象是否受用户/密码保护 检查 RMI 注册表本身的 IP/名称以及从上述 RMI 注册表提取的 T...

malicious-devfile-registry

恶意 Devfile Registry 该项目包含一个恶意 Devfile Registry，可用于利用 Gitlab 中的 CVE-2024-0402。 漏洞利用 索引了一个 nodejs:2.2.1 栈，以暴露 archive.tar 文件，该文件利用了 registry-support 库 v1.1.0 之前版本 中的路径遍历问题。 tar 文件位置 ：malicious-devfile-registry/stacks/nodejs/2.2.1/archive.tar 它是使用 evilarc.py 创建的，用于覆盖目标 Gitlab 服务器中的...

RCLocals

RCLocals Sysinternalsの'Autoruns'に触発されたRCLocalsは、Linuxのすべての起動可能性を分析してバックドアを発見し、プロセス整合性検証、DLLインジェクションされたプロセスのスキャンなども実行します。 カバー範囲: ・システムが信頼するGPG鍵の一覧 ・インストール済みパッケージ ・ファイル整合性 ・プロセス整合性 どのインストール済みパッケージにも属さないプロセスやプロセスにロードされたライブラリ ・名前が偽装されたプロセス prctlを使って/bin/psでの名前を変更するプロセス ・CRONエントリ ・RCファイル ・Xシステム起動ファイル...

Reg1c1de

Reg1c1de: Windowsレジストリ特権昇格スキャナー 概要（ヘルプ出力より）: Reg1c1deは、指定されたレジストリハイブをスキャンし、ユーザーが書き込み権限を持つキーを報告するツールです。 さらに、特定のファイル拡張子を持つファイルパスを含むレジストリ値が見つかり、それらが書き込み可能な場合も報告されます。 このツールとその使用方法の詳細は、関連するgithub.ioの記事をご覧ください：こちら ヘルプ出力: ++++++++++++++Reg1c1de++++++++++++++++ +author: @deadjakk | http://shell.rip+...

physmem

physmem physmem 是一个物理内存检查工具和本地权限提升工具，适用于 macOS 10.12.1 及更早版本。它利用 CVE-2016-1825 或 CVE-2016-7617 中的一个，具体取决于部署目标。这两个漏洞几乎完全相同，并且可以利用完全相同的技术进行利用。它们分别在 OS X El Capitan 10.11.5 和 macOS Sierra 10.12.2 中被修复。 由于这些是逻辑错误，利用非常简单可靠。在使用正确方法利用这些漏洞运行程序的数万次中，我从未遇到内核恐慌。 CVE-2016-1825 CVE-2016-1825 是 IOHIDevice...

creddump7

信息 本仓库是我对原始 'creddump' 程序的修改，原始程序位于： https://code.google.com/p/creddump/ 我没有编写原始程序。 我整合了从不同论坛和用户建议中看到的许多补丁和修复，并修改了用法，使其更清晰。 我遵循了以下链接中的补丁和修复： https://code.google.com/p/creddump/issues/detail?id=4 https://code.google.com/p/volatility/issues/detail?id=92 享受吧！ Ronnie Flathers @ropnop Usage 挂载 Windows...

CVE-2019-9730

CVE-2019-9730：Synaptics 音频驱动程序本地权限提升 此驱动程序包中的漏洞存在于 CxUtilSvc 系统服务中。它托管了一个 COM 对象，低权限代码可以利用该对象以 SYSTEM 身份对注册表执行任意读取和写入。该 .NET 代码添加了 IRegistryHelper COM 接口作为引用，以调用其方法。 在利用方面，采用了一种较为直接的方法：将给定服务的二进制路径替换为一条创建本地管理员账户的命令。虽然标准用户账户无法启动/停止每一个服务，但通常存在一小部分他们可以操控的服务（例如 ose）。如果无法立即启动某个服务，他们也可以重启系统。...

RpcAuthnLevelPrivacyEnabled

管理针对CVE-2021-1678（KB4599464）的RPC打印机关联更改部署 Windows打印机共享错误，请下载并执行：https://github.com/alvaciroliveira/RpcAuthnLevelPrivacyEnabled/blob/main/RpcAuthnLevelPrivacyEnabled.reg...

RawHive

RawHive RawHive 是一个 Cobalt Strike BOF，用于直接从原始 NTFS 卷中拉取选定的 Windows 注册表配置单元。它绕过常规文件 API，遍历 NTFS 元数据以找到目标文件记录，然后直接从磁盘复制字节。 目前会查找： C:\Windows\System32\config\SAM C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY C:\Windows\NTDS\ntds.dit（如果主机是域控制器） 默认从 C: 读取，但你可以指定其他本地驱动器盘符。 工作原理 ...

SharpStay

SharpStay - .NET 永続化 ビルド コンパイルするには Visual Studio プロジェクトを開き、リリース用にコンパイルします。 オプション 昇格した権限のレジストリキー 昇格した権限の UserInit レジストリキー 昇格した権限のスケジュールタスク 昇格した権限のサービス作成 昇格した権限の WMI イベントサブスクリプション 非昇格 InitMprLogonScript レジストリキー 非昇格スケジュールタスク COM ハンドラーハイジャック 非昇格ジャンクションフォルダ その他 スケジュールタスクアクション追加 その他 スタートアップディレクトリ その他 新...

GeoLocation_BOF

GeolocationBOF Cobalt Strike BOFであり、fork & runを使用せずにWindowsの地理位置情報座標を取得しようとします。最初にWinRT Geolocator APIを使用し、次にレガシーILocation APIにフォールバックします。 実装 WinRTの地理位置情報をレガシーILocationフォールバックと共に使用するシンプルなBOFです。以下のレジストリキーを変更します。...