DNSStager

什么是DNSStager? DNSStager是一个基于Python的开源项目，用于使用DNS隐藏和传输你的载荷。 DNSStager将创建一个恶意的DNS服务器，处理针对你域名的DNS请求，并将你的载荷作为特定记录请求（如 AAAA 或 TXT 记录）的响应返回，在将其分块并使用不同算法编码后。 DNSStager可以生成用 C 或 GoLang 编写的自定义代理，该代理将解析一系列域名，检索载荷，解码载荷，并最终根据你选择的任何技术将其注入内存。 你可以随意编辑DNSStager代理的代码，并使用你自己的自定义执行技术进行构建。...

Atomic-Red-Team-C2

描述 ARTC2 是一个现代化的执行框架，帮助安全团队从单个和多个入侵点目标扩展攻击场景的执行。它旨在生成可操作的情报，提升安全产品和事件响应的有效性。 操作系统支持 Windows 操作系统 功能特性 ARTC2 核心功能与能力源自 SILENTTRINITY，通过 Boo 执行的原子测试来自 ATOMIC-RED-TEAM。所有其他功能增强都是为了确保作战技艺、敏捷性、可扩展性和快速执行不受影响。...

RTA

Red Team Arsenal Red Team Arsenal 是 Flipkart 安全团队创建的内部框架，用于监控公司在线资产的外部攻击面，并提供任何安全异常的整体安全 视图。它紧密集成了多种安全引擎和工具，用于实施/模拟攻击，并监控面向公众的资产是否存在异常和泄漏。 这是一个智能框架，用于检测所有第七层（应用层）资产的安全异常并进行报告。 随着公司通过收购和地理扩张不断扩大其在互联网上的足迹，人工驱动的安全工程已不可扩展，因此，公司需要反馈驱动的自动化系统来保持稳定。 安装 支持的平台 RTA 已在 Ubuntu/Debian （基于 apt-get 的发行版）上测试通过，也适...

Cohab_Processes

CohabProcesses 这个Aggressor脚本旨在帮助内部红队识别在其环境中运行的异常或外来进程（"共居"）。 红队可以整理一份"已知"进程列表（可以独立完成，也可与蓝队合作），并将其提供给该Aggressor脚本。这份进程列表可能包括那些在"我们的网络中被观察到至少x次"的进程，以便建立基线。一旦脚本加载到CobaltStrike中，beacon输出将会针对以下命令进行修改/颜色编码： 1. shell tasklist 2. ps 3. TrustedSec 的 tasklist BOF（你不必使用此BOF，但强烈推荐）...

ImpulsiveDLLHijack

ImpulsiveDLLHijack 基于C的工具，可自动发现和利用目标二进制文件中的DLL劫持漏洞。劫持路径可在红队行动中用于绕过EDR。 1. 方法论： 该工具主要实现DLL劫持中以下阶段的自动化： 发现 - 查找潜在可利用的DLL劫持路径 利用 - 确认目标是否从劫持路径加载了验证DLL，从而确认100%可利用的DLL劫持！ 发现方法论： 向 ImpulsiveDLLHijack.exe 提供目标二进制路径 自动执行 ProcMon 并同时运行目标二进制，查找潜在可利用的DLL劫持路径 利用方法论： 从 ProcMon 自动生成的 CSV 文件中解析潜在可利用的DLL劫持路径...

Blue-Team-Notes

Blue Team Notes A collection of one-liners, small scripts, and some useful tips for blue team work. I've included screenshots where possible so you know what you're getting. Contact me If you see a mistake, or have an easier way to run a command then you're welcome to hit me up on Twitter or comm...

robusto

RobuSTO 💥 Robust-Subdomain-Takeover 💥 获取域名列表并搜索子域名接管。 它与其他工具有何不同？ 该工具围绕自动化流程的理念构建，并允许蓝队使用其扫描自己的资产。 例如，定期扫描我组织的所有子域名，并在出现问题时触发内部警报。 该工具也被设计为 "CI-Ready" （详见下文）。 安装 前提条件 Nuclei 使用 git clone https://github.com/rotemreiss/robusto.git 克隆仓库 用法 RobuSTO 支持单个/多个域名。 单个域名 root@kitploit: echo "domain.com" |...

HoneypotBuster

专为红队设计的 Microsoft PowerShell 模块，可用于在网络或主机上发现蜜罐和蜜令牌。 CodeExecution 使用 Import-Module 在目标机器上执行代码。 Invoke-HoneypotBuster HoneypotBuster 是一款旨在识别常见分布式欺骗厂商使用的蜜令牌、蜜面包屑和蜜罐的工具。该工具可帮助识别以下欺骗技术： 1. Kerberoasting 服务账户蜜令牌 正如 Sean Metcalf 在 ADSecurity 文章中所描述的，这种技术诱使攻击者扫描具有 SPN（服务主体名称）且 adminCount = 1 LDAP...

FudgeC2

FudgeC2 FudgeC2 是一个基于 PowerShell 的 C2 平台，旨在促进团队协作和活动时间线记录，于 BlackHat Arsenal USA 2019 发布。它旨在通过向客户展示更细致的对手技术细节，帮助其更好地理解红队活动。 FudgeC2 基于 Python3 构建并拥有 Web 前端，旨在为红队操作人员提供一个简单的界面，用于管理其活动中活动的植入体。 FudgeC2 正在积极开发中，并会定期更新——如果您有功能建议，请提出您的想法和建议。 安装 要安装和配置 FudgeC2，运行以下命令： root@kitploit: git clone...

ai-security-battle

🤖 AI安全对战系统 红队 vs 蓝队：对抗性机器学习战斗模拟 一个全面的对抗性机器学习安全模拟，红队攻击者与蓝队防御者在30分钟AI/ML安全战场景中展开对抗。 🎯 项目概述 本系统模拟真实世界的AI/ML安全场景，其中： 🔴 红队 发起高级攻击（对抗性输入、模型窃取、逃逸攻击） 🔵 蓝队 部署基于ML的防御（异常检测、速率限制、输入验证） 战斗持续30分钟，共10轮，最终结果决定AI/ML安全系统对现代应用是否足够健壮。 📁 项目结构 root@kitploit: ai-security-battle/ ├── database/ 数据库层 │ ├── schema.sql 数据库模...

yasuo

YASUO @0xsauby 描述 Yasuo 是一个 Ruby 脚本，用于扫描存在漏洞的第三方 Web 应用程序。 在进行网络安全评估（内部、外部、红队任务等）时，我们经常会遇到存在漏洞的第三方 Web 应用程序或 Web 前端，这些应用允许我们通过利用公开已知的漏洞来入侵远程服务器。一些常见且受欢迎的应用程序包括 Apache Tomcat 管理界面、JBoss jmx-console、Hudson Jenkins 等。 如果你在 Exploit-db 中搜索，有超过 10,000 个远程可利用的漏洞存在于大量 Web...

freddy

Freddy the Serialisation Killer - Deserialization Bug Finder A Burp Suite extension to aid in detecting and exploiting serialisation libraries/APIs. This useful extension was originally developed by Nick Bloor @nickstadb for NCC Group and is mainly based on the work of Alvaro Muñoz and Oleksandr...

bucket-stream

🚨 Bucket Stream 已不再维护。如果您需要红队行动的支持或咨询，请发送邮件至 [email protected] 🚨 Bucket Stream 通过监控证书透明度日志发现有趣的 Amazon S3 存储桶。 该工具仅监听各种证书透明度日志（通过 certstream），并尝试从证书域名的排列中寻找公开的 S3 存储桶。 请负责任地使用。 我创建此工具主要是为了强调公开 S3 存储桶相关的风险，并为常规的字典攻击提供不同的思路。如果您使用 S3 存储桶，以下是一些快速提示： 1. 随机化您的存储桶名称！没有必要使用...

Macrome

Macrome 用于红队和分析师的Excel宏文档读取器/写入器。关于此工具实际功能的博文可查阅这里和这里。 安装/构建 克隆或下载本仓库，然后可使用dotnet执行该工具——例如： root@kitploit: dotnet run -- build --decoy-document Docs\decoydocument.xls --payload Docs\popcalc.bin 或 root@kitploit: dotnet build cd bin/Debug/netcoreapp2.0 dotnet Macrome.dll deobfuscate --path...

ycsm

You Can't See Me YCSM 这是一个用于弹性重定向器的快速脚本安装，使用 nginx 反向代理和 letsencrypt，兼容一些流行的 RATS（Cobalt Strike、Empire、Metasploit）。 如果选择了 HTTPS，它将自动设置 letsencrypt certbot，为你的重定向器域名获取有效的 letsencrypt SSL 证书，并使用生成的配置启动 nginx。使用重定向器的一个额外好处是，如果域名已暴露（burned），由于使用了独立主机，C2 的真实 IP 仍然可用。 Features 绕过厂商沙箱（Sandboxes）。 阻止...

DeTTECT

Detecta tácticas, técnicas y combate amenazas Última versión: 2.2.0 Para comenzar con DeTT&CT, consulta uno de estos recursos: Esta página de la Wiki. Este blog escrito por Renaud Frère de NVISO contiene una descripción completa y reciente de las capacidades de DeTT&CT. Blog:...

CVE-2022-39197-POC

CVE-2022-39197-POC English Version README.md 漏洞介绍 根据9.20日CobaltStrike官方发布的最新4.7.1版本的更新日志中介绍， 一位名为“Beichendream”的独立研究人员联系我们，告知我们他们在团队服务器中发现的一个 XSS 漏洞。这将允许攻击者在 Beacon 配置中设置格式错误的用户名，从而允许他们远程执行代码RCE。 POC介绍 目前POC仅可以实现teamserver弹图片。 集成CobaltStrikeParser的分析工具，直接载入payload即可一站式上线 使用方式 详情讲解请见我的博客 参数说明 -i...

TelemetrySourcerer

Telemetry Sourcerer 简介 Telemetry Sourcerer 可以枚举并禁用 Windows 上 AV/EDR 常用的遥测来源。 红队人员和安全爱好者可以在实验环境中使用此工具来： 识别目标产品基于收集的盲点。 确定哪些遥测来源生成特定类型的事件。 验证使用该工具的篡改功能是否会导致检测。 有关构建私有实验环境的详细信息，请参阅我关于 将 EDR 遥测转向私有基础设施 的文章。 OPSEC 警告 ：虽然可以在目标环境中使用此工具，但直接使用任何进攻性安全工具都存在 OPSEC 风险。建议将本项目的代码集成到您自己的工具中，并结合其他技术来减少其产生的痕迹。 功能...

http-protocol-exfil

http-protocol-exfil Use the HTTP protocol version to send a file bit by bit "HTTP/1.0" is a 0 and "HTTP/1.1" is a 1. It uses GET requests so the Blue Team would only see the requests to your IP address. However, it takes a long time to send bigger files, for example it needs 1 hour to send 200 KB...

ThreadStackSpoofer

线程栈欺骗 / 调用栈欺骗概念验证 一种高级内存驻留规避技术的概念验证实现，用于欺骗线程调用栈。该技术可绕过基于线程的内存检查规则，在进程内存中更好地隐藏 shellcode。 简介 本示例实现了 线程栈欺骗 技术，旨在规避恶意软件分析师、AV 和 EDR 通过检查线程调用栈中 shellcode 帧的引用。其核心思路是隐藏线程调用栈中指向 shellcode 的引用，从而伪装包含恶意代码的内存分配。 本实现与我的 ShellcodeFluctuation 一起，为红队工具提供了与商业 C2 产品相媲美的示例，让我们在红队工具中不落下风。💪 实现已变更...