bt2

bt2: Blaze Telegram Backdoor Toolkit bt2 is a Python-based backdoor in form of a IM bot that uses the infrastructure and the feature-rich bot API provided by Telegram, slightly repurposing its communication platform to act as a C&C. Dependencies Telepot requests Installation root@kitploit: $ sudo...

bt2

bt2: Blaze Telegram 后门工具包 bt2 是一个基于 Python 的后门程序，以 IM 机器人形式存在，利用 Telegram 提供的基础设施和功能丰富的机器人 API，稍加改造其通信平台以充当 C&C 服务器。 依赖项 Telepot requests 安装 root@kitploit: $ sudo pip install telepot $ sudo pip install requests PS: Telepot 需要至少 requests 2.9.1 才能正常工作。 局限性 目前 shellcode 执行组件依赖于 ctypes，仅适用于 Windows 平...

CVE-2017-11882

CVE-2017-11882 43b 原脚本来自于 https://github.com/embedi/CVE-2017-11882 109b 原脚本来自于 https://github.com/unamer/CVE-2017-11882/ （膜一波，现在unamer的代码已经可以执行shellcode了） CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ MITRE CVE-2017-11882: https://vulners.com/cve/CVE-2017-118...

SharpZipRunner

SharpZipRunner 从加密的zip中执行位置无关的shellcode 通过donut、metasploit或cobaltstrike的RAW格式获取你的汇编PIC代码。 将.bin文件压缩并加密，该程序集在内存中解密zip条目并使用D/Invokes注入API执行。 能够注入到正在运行的进程中，或先创建一个新进程再注入到新创建的进程中。 理论上自我注入可行，但会导致崩溃。因为自我注入并非我的主要目标，所以没有真正尝试修复该问题。 通过将加密的zip放在磁盘上进行测试，但可能经过一些修改后也能完全在内存中工作。 仅支持PIC载荷，曾尝试创建runPE变体但失败得很惨 :...

NimGetSyscallStub

NimGetSyscallStub 从一份全新的 ntdll.dll 副本获取最新的系统调用。本代码可作为已发布的优秀工具 NimlineWhispers 和 NimlineWhispers2（由 @ajpc500 开发）以及 ParallelNimcalls 的替代方案。 动态获取系统调用的优势在于，桩（Stub）的签名不会包含在文件中，并且无需担心 Windows 版本的变化。 要编译 Shellcode 执行模板，请运行以下命令： root@kitploit: nim c -d:release ShellcodeInject.nim 结果应如下图所示：...

CSSG

CSSG Cobalt Strike 外壳代码生成器 Ryan Stephenson RCStep 在 Cobalt Strike 顶部菜单栏添加 外壳代码 - 外壳代码生成器 CSSG 是 aggressor、.NET 和 python 脚本，用于更轻松地生成和格式化信标外壳代码 生成带有暴露退出方法、额外格式化、加密、编码、压缩、多行输出等的无阶段信标外壳代码 外壳代码转换按照菜单中列出的顺序从上到下执行 要求： RC4/AES 加密选项使用 /assets 文件夹中的 python 脚本或 .NET 程序集 基于 Python 的加密依赖于已安装的 pycryptodome 包来执...

masm_shc

masmshc 一个用于创建shellcode的辅助工具。清理MSVC生成的MASM文件，并提供重构提示。 演示 论文 📰 VXUG ; 镜像...

ProcessStomping

ProcessStomping ProcessOverwriting 的一种变体，用于在可执行文件的节区上执行 shellcode 这是什么 更详细的解释请参阅我的博客文章 Process Stomping 是 hasherezade 的 Process Overwriting 的一种变体，其优势在于将 shellcode 载荷写入目标节区，而不是将整个 PE 载荷写入宿主进程的地址空间。 以下是 ProcessStomping 技术的主要步骤： 1. CreateProcess - 将进程创建标志设置为 CREATESUSPENDED 0x00000004 以挂起进程的主线程。 2...

shellsploit-framework

We'll back in several years. update...

IIS-Raid

IIS-Raid IIS-Raid 是一个原生 IIS 模块，它滥用 IIS 的可扩展性来对 Web 服务器进行后门植入，并执行攻击者自定义的操作。 文档 安装后，IIS-Raid 会处理每一个请求和方法，检查是否存在 X-Password 头，并将其与硬编码的值进行比较。 如果请求头中指定的值与密码不匹配，请求将正常继续，不会暴露出后门的任何迹象。 如果请求头的值与密码匹配，它将查找通信头并提取其内容。此外，它还会对其进行 base64 解码，与预定义的命令进行比较，并在有指令时进行处理。 脚本实现了四个参数： --url ：用于与后门通信的 URL。必需 --password...

RemoteRecon

RemoteRecon 远程侦察与收集 RemoteRecon 提供对远程主机执行后渗透利用能力的功能，而无需暴露您的完整工具包/代理。作为操作者，我们常常需要入侵一台主机，仅仅是为了对目标人员/主机进行键盘记录或截屏（或其他微小的任务）。为什么您必须将 Beacon、Empire、Innuendo、Meterpreter 或自定义 RAT 推送到目标上？这会增加您在目标环境中的足迹，暴露您的代理中的功能，以及您的 C2 基础设施。一种替代方案是向感兴趣的目标部署次要代理并收集情报。然后将这些数据存储起来，供您自行决定检索。如果这些受感染端点被 IR...

CVE-2018-4878

CVE-2018-4878样本 样本来源：https://github.com/brianwrf/CVE-2017-4878-Samples 分析报告：http://blog.talosintelligence.com/2018/02/group-123-goes-wild.html python脚本中exploit来源：https://github.com/vysec/CVE-2018-4878 cve-2018-4878.py 为exploit生成脚本，shellcode用metasploit生成，默认的为Windows弹计算器的payload 。...

shellme

shellme Porque a veces solo necesitas shellcode y opcodes rápidamente. Esto esencialmente solo envuelve algunas llamadas a nasm/objdump en un práctico script. root@kitploit: bryan@devbox:/shellme$ python shellme.py usage: shellme.py -h -n FILE -o OUTPUT -i INSTRUCTION -a ARCH optional arguments:...

CallObfuscator

CallObfuscator 混淆（隐藏）PE导入，使其不被静态/动态分析工具检测到。 原理 这相当直接，假设我使用了VirtualProtect，并想用Sleep来混淆它，该工具会操纵IAT，使得指向VirtualProtect的thunk转而指向Sleep，这样在文件执行时，Windows加载程序会加载Sleep而不是VirtualProtect，并将执行权转移到入口点，从那里执行将被重定向到工具之前放置的shellcode，以找到VirtualProtect的地址，并用它替换之前由加载程序分配的Sleep的地址。 使用方法...

CVE-2018-17463

CVE-2018-17463 针对 CVE-2018-17463 的工作概念验证漏洞利用，使用 WebAssembly RWX 页面执行 Shellcode。 CVE-2018-17463 源于 Google Chrome 70.0.3538.64 之前版本中 V8 的错误副作用注释，允许远程攻击者通过精心制作的 HTML 页面在沙箱内执行任意代码。 此概念验证与以下博客文章直接相关： Chrome 浏览器漏洞利用，第 1 部分：V8 和 JavaScript 内部原理介绍 Chrome 浏览器漏洞利用，第 2 部分：Ignition、Sparkplug 及通过 TurboFan 进行...

Windows-X64-RAT

Troyano de Acceso Remoto RAT para Windows x64 Objetivo Desarrollar un RAT para Windows x64 utilizando CVE-2023-38831 WinRAR 6.23 y explotación de shellcode para evadir Windows Defender. Descripción del Sistema 1. Inicialización del Shellcode Generar shellcode usando Windows/x64 - PIC Null-Free TC...

threadfire

threadfire 该程序使用线程劫持技术向标准 Win32 应用程序注入原生 Shellcode。我制作此程序时年仅 15 岁——请忽略不规范的代码。 关于 我开发这个小项目是为了继续体验不同的代码注入方法，并让红队安全专业人员能够利用此方法作为一种独特的方式进行软件渗透测试。通过线程劫持，hijacker.exe 程序可以挂起 target.exe 程序中的一个线程，从而允许我们将 shellcode 写入该目标线程，并随后执行（通过 WriteProcessMemory、SetThreadContext、ResumeThread、CreateThread）。 示例 GIF 用法...

RedPeanut

RedPeanut root@kitploit: oooooooooooooooooo ooooooooooooooooooooooooooooooooooooooo ooooooooooooooooooooooooooooooooo ooooooooooooooooooooooooooooooooooooooooooo oooooooooooooooooooooooooooo oooooooooooooooooooooooooooooooooooooo RedPeanutv0.3.0@b4rtik 当前正在测试中。 已知模块问题： process - spawnasagent...

cve-2019-0708_bluekeep_rce

运行 msfconsole meterpreter/multi/handler 监听192.168.116.133:6000 2. cd rdesktop-1.5.0 && make 3. 修改config，配置回连ip和端口 192.168.116.133 6000 4. 执行 ./heapspray 192.168.116.134 134是xp的地址，内存大于等于2G 5. msfconsole meterpreter 会得到session ps: shellcode/shellcode.asm...

wnfexec

Overview WnfExec is a C proof of concept library that injects shellcode into a process by hijacking a WNF subscription callback then triggering a state change. There's nothing novel here and was built based on the research of others. My intent was to solidfy the concept in my head, document the...