HyperDbg

HyperDbg Debugger HyperDbg Debugger is an open-source, hypervisor-assisted debugger for Windows Linux support is currently under development! with support for both user-mode and kernel-mode native debugging. It is built for reverse engineering, fuzzing, and advanced system analysis using modern...

EDR-Freeze

EDR-Freeze Esta es una herramienta que explota la vulnerabilidad de software de WerFaultSecure para suspender los procesos de EDRs y antimalware sin necesidad de utilizar el método de ataque BYOVD Bring Your Own Vulnerable Driver. EDR-Freeze opera en modo usuario, por lo que no necesitas instalar...

acheron

关于 Acheron 是一个受 SysWhisper3/FreshyCalls/RecycledGate 启发的库，大部分功能使用 Go 汇编实现。 acheron 包可用于向您的 Golang 工具链添加间接系统调用能力，以绕过那些利用用户态钩子和 instrumentation callbacks 来检测从内核态返回用户态时未回到 ntdll.dll 的异常系统调用的 AV/EDR。 主要特性 无依赖 纯 Go 和 Go 汇编实现 支持自定义字符串加密/哈希函数以对抗静态分析 工作原理 创建新的系统调用代理实例时，会执行以下步骤： 1. 遍历 PEB 以获取内存中 ntdll.dll...

TelemetrySourcerer

Telemetry Sourcerer Introduction Telemetry Sourcerer can enumerate and disable common sources of telemetry used by AV/EDR on Windows. Red teamers and security enthusiasts can use this tool in a lab environment to: Identify collection-based blind spots in the products they're up against. Determine...

CVE-2025-7771

CVE-2025-7771 通过滥用 ThrottleStop 驱动程序，从用户模式调用任意内核模式函数的漏洞利用程序。 演示 参考 https://github.com/jonomango/superfetch https://securelist.com/av-killer-exploiting-throttlestop-sys/117026/...

CVE-2024-38041

CVE-2024-38041 Punteros del kernel copiados al búfer del modo de usuario de salida con ioctl 0x22A014 en el controlador appid.sys...

winfsp

WinFsp · Windows 文件系统代理 WinFsp 使开发者能够编写自己的文件系统（即“Windows 驱动器”）作为用户模式程序，无需任何 Windows 内核编程知识。它类似于 Linux 和其他类 UNIX 计算机上的 FUSE（用户空间文件系统）。 winfsp.dev !h...

CVE-2011-1237

CVE-2011-1237 这是2013年针对Windows 7上的CVE-2011-1237编写的一个旧版POC。该漏洞由Tarjei Mandt（@kernelpool）发现，并在其论文Kernel Attacks through User-Mode Callbacks中进行了阐述。 此POC中硬编码了多项内容，并调用了已失效的Null页面。该漏洞利用在我的演讲A Look into the Windows Kernel中有所描述。 Shellcode唯一的作用是触发断点。...

GhostKatz

GhostKatz 通过滥用带有签名的易受攻击驱动程序，利用 MmMapIoSpace 直接读取物理内存，从 LSASS 中提取凭据，从而绕过传统的用户态检测能力。 本工具由 Julian Peña 与 Eric Esquivel 合作开发。 此版本的 GhostKatz 使用了已公开披露为易受攻击的驱动程序。为获得最佳效果，GhostKatz 旨在配合暴露读取内存原语漏洞且加载时未被阻止/公开已知的内核驱动程序使用。本次公开发布不包括针对此前未公开驱动程序的利用代码。相反，该项目设计为模块化且可扩展，允许用户研究自己的驱动程序，并通过扩展 utils.c...

ring3-kit

ring3-kit Hides Process From Task Manager Using NT Hooking NtQuerySystemInformation. A simple Ring-3 user mode rootkit. How Hook the API function NtQuerySystemInformation with our own function that hides a process from task manager Hooked function gets called instead The DLL is injected into...

DrSemu

Dr.Semu Dr.Semu runs executables in an isolated environment, monitors the behavior of a process, and based on Dr.Semu rules created by you or the community, detects if the process is malicious or not. The tool is in the early development stage whoami: @qazqaz With Dr.Semu you can create rules to...

CVE-2026-43499-S25U

CVE-2026-43499 PoC 针对 Galaxy S25 Ultra 针对韩国三星 Galaxy S25 Ultra 上 CVE-2026-43499 的设备特定概念验证。 支持的目标设备 root@kitploit: Model: SM-S938N Codename: pa3q Android: 16 / API 36 Build: S938NKSUACZF1 Display ID: BP4A.251205.006.S938NKSUACZF1 Fingerprint:...

DMA-ProcessDumper

DMA-ProcessDumper Volca toda la memoria del proceso objetivo en modo usuario utilizando DMA con MemProcFS a través de un dispositivo FPGA PCIe Compilación Copia leechcore.h, vmmdll.h y vmm.lib desde MemProcFS al directorio DMA-ProcessDumper Compila usando Visual Studio Copia leechcore.dll, vmm.dl...

santa

Santa !NOTE As of 2025, Santa is no longer maintained by Google. We encourage existing users to migrate to an actively maintained fork of Santa, such as https://github.com/northpolesec/santa. Santa is a binary and file access authorization system for macOS. It consists of a system extension that...

sinter

Sinter Sinter is a 100% user-mode endpoint security agent for macOS 10.15 and above, written in Swift. Sinter uses the user-mode EndpointSecurity API to subscribe to and receive authorization callbacks from the macOS kernel, for a set of security-relevant event types. The current version of Sinte...

RefleXXion

Introduction RefleXXion is a utility designed to aid in bypassing user-mode hooks utilised by AV/EPP/EDR etc. In order to bypass the user-mode hooks, it first collects the syscall numbers of the NtOpenFile, NtCreateSection, NtOpenSection and NtMapViewOfSection found in the LdrpThunkSignature arra...

evil-mhyprot-cli

evil-mhyprot-cli Una PoC para el controlador vulnerable Mhyprot2.sys que permite leer/escribir memoria en kernel/usuario mediante un proceso de usuario sin privilegios. libmhyprot Wiki Descripción general Lo que podemos hacer con esta CLI es lo siguiente: Leer/Escribir cualquier memoria del kerne...

ish

iSH iSH 是一个运行在 iOS 上的 Linux shell。本项目使用了 x86 用户模式仿真和系统调用翻译转换。 请查看 issue 和提交记录以了解本项目当前的状态。 App Store 页面 Testflight 测试 Discord 服务器 维基帮助与教程 上手 本项目下包含了其他 git 项目作为子模块，请确保在克隆时使用参数--recurse-submodules，即 git clone --recurse-submodules https://github.com/ish-app/ish.git。或是在克隆好了之后执行 git submodule update...

CVE-2026-20805-POC

CVE-2026-20805 PoC Prueba de concepto para la vulnerabilidad de divulgación de información en Desktop Windows Manager dwm.exe de Microsoft. 📋 Resumen de la Vulnerabilidad ID: CVE-2026-20805 Producto: Microsoft Windows Componente: Desktop Windows Manager dwm.exe CWE-ID: CWE-200 Exposure of Sensiti...

CVE-2026-50416-writeup-and-poc

CVE-2026-50416: Un QWORD de más en el montón del escritorio En la compilación Insider de Windows 11 10.0.28020.2149, la asignación en modo usuario del montón del escritorio de Win32k exponía un puntero sin procesar del grupo del kernel de sesión en el desplazamiento 0x100. La lectura en sí es cas...