the-backdoor-factory

The new version of BACKDOOR FACTORY is available! Get access here: https://github.com/sponsors/secretsquirrel WARNING: Pull Requests WILL BE IGNORED AND CLOSED. The Backdoor Factory BDF セキュリティ専門家と研究者のみを対象としています。 BDFの目的は、実行可能バイナリにユーザーが望むシェルコードをパッチとして埋め込み、パッチ適用前の状態の通常の実行を継続させることです。 Black Hat USA...

userland-exec

ユーザーランド exec Userland Exec ユーザーランド exec は、現在のアドレス空間内の既存のプロセスイメージを新しいものに置き換えます。これはシステムコール execve の動作を模倣しますが、プロセスイメージを記述するプロセス構造は変更されません。言い換えれば、システムユーティリティが報告するプロセス名は、古いプロセス名のままになります。 この手法は、任意のコード実行を獲得した後にステルス性を達成するために使用できます。また、noexec パーティションに保存されたバイナリを実行するためにも使用できます。 最初のユーザーランド exec は grugq...

avml

AVML Acquire Volatile Memory for Linux 概要 Linux用のポータブル揮発性メモリ取得ツール。 AVMLは、Rustで書かれたX8664ユーザーランド揮発性メモリ取得ツールで、静的バイナリとして配備することを目的としています。 AVMLは、対象OSのディストリビューションやカーネルを事前に知らなくてもメモリを取得できます。ターゲット上でのコンパイルやフィンガープリンティングは不要です。 特徴 Azure Blob StoreまたはHTTP PUTを介して、取得したイメージを外部の場所に保存する Azure Blob...

BadExclusionsNWBO

BadExclusions 改良版 Opsec向上 BadExclusionsNWBOは、BadExclusionsから進化し、AV/EDR上のフォルダのカスタムまたは未文書化除外を特定します。 仕組み BadExclusionsNWBOは、指定されたパス内のすべてのフォルダとサブフォルダでHookChecker.exeをコピーして実行します。HookChecker.exeはBadExclusionsNWBO.exeと同じフォルダに置く必要があります。...

santa

Santa Santa is a binary and file access authorization system for macOS. It consists of a system extension that monitors for executions & file access, and makes decisions based on the contents of a local database, a GUI agent that notifies the user in case of a block decision, a background service...

RIPPL

RIPPL ドライバを使用せずにPPL保護プロセスを操作する このツールは、WindowsのPPL保護プロセスを操作するためのユーザーランドエクスプロイトを実装しています。この手法は、James Forshaw（別名@tiraniddo）とClément Labro（別名@itm4n）によって、以下のブログ記事で最初に議論されました。 James Forshaw氏のブログ記事 : Windows Exploitation Tricks Clément Labro氏のブログ記事 その1 : Do You Really Know About LSA Protection RunAsPPL?...

RunAsWinTcb

RunAsWinTcb 概要 RunAsWinTcbは、ユーザーランドのエクスプロイトを使用して、WinTcb-Lightの保護レベルでDLLを実行します。 脆弱性とエクスプロイトの機能の概要はこちらで確認できます： https://tastypepperoni.medium.com/running-exploit-as-protected-process-ligh-from-userland-f4c7dfe63387 使い方 コマンド: RunAsWinTcb.exe POCDLL.dll Windows Defenderの停止:...

ulexecve

빠른 시작 execve를 호출하지 않고 동적 또는 정적으로 컴파일된 ELF 리눅스 바이너리를 실행합니다. cat /bin/echo | ulexecve - hello hello 소개 이 Python 도구는 ulexecve라고 하며 userland execve 를 의미합니다. 이 도구는 execve 시스템 콜을 호출하지 않고 리눅스 시스템의 사용자 공간에서 임의의 ELF 바이너리를 실행할 수 있게 해줍니다. 즉, 바이너리를 저장소에 쓰지 않고 메모리에서 직접 실행할 수 있습니다. 이는 안티 포렌식 또는 레드팀 관점에서 매우 유용하...

pbscan

SUMMARY polarbearscan is an attempt to do faster and more efficient banner grabbing and port scanning. It combines two different ideas which hopefully will make it somewhat worthy of your attention and time. The first of these ideas is to use stateless SYN scanning using cryptographically protect...

UserLAnd

欢迎使用 UserLAnd 在 Android 上运行 Linux 发行版或应用的最简单方式。 功能： 在 Android 之上运行完整的 Linux 发行版或特定应用。 像普通应用一样安装和卸载。 无需 root 权限。 有 Bug 报告或功能请求？ 您可以访问我们的 问题中心 查看模板。 开始使用 UserLAnd 请参阅我们的 入门指南 页面。 UserLAnd 资源 UserLAnd 所依赖的资源以及构建这些资源的脚本都包含在其他仓库中。 所有发行版和应用共用的通用资源位于 CypherpunkArmory/UserLAnd-Assets-Support。 特定发行版或应用的资源...

PPLmedic

PPLmedic このツールは、署名者の種類が Windows である PPL に任意のコードを注入し、署名者の種類 WinTcb に昇格するための Userland エクスプロイトチェーンを実装しています。これらの手法は、もともと James Forshaw 別名 @tiraniddo 氏がブログ記事 COM を使用した Windows 保護プロセスへのコードインジェクション - パート 1 で議論したものです。 このツールの詳細については、関連するブログ記事をご覧ください: ユーザーランドで PPL を（再び）バイパスする 💣 免責事項 このツールは 高度な...

NTDLLReflection

NTDLLReflection Windows ReleaseIDに基づいてリモートサーバーからReflective Ntdllをメモリにロードし、ntdllへのハンドルを開かずにUserland EDRフックをバイパスし、エクスポートテーブルからエクスポートされたAPIをトリガーします。...

PPLdump

PPLdump ⚠️ 2022-07-24 - Windows 10 21H2 10.0.19044.1826 2022년 7월 업데이트 기준으로 PPLdump에 구현된 익스플로잇은 더 이상 작동하지 않습니다. NTDLL의 패치로 인해 이제 PPL이 Known DLL을 로드할 수 없습니다. 자세한 정보는 여기를 참조하세요. 이 도구는 James Forshaw@tiraniddo가 블로그 게시물에서 처음 논의한 사용자 영역userland 익스플로잇을 구현하여, 관리자 권한으로 모든 PPL의 메모리를 덤프할 수 있습니다. 이 도구에 관한 두 개의...

Freeze

이 저장소는 보관 처리되었습니다 Freeze의 최신 버전을 확인하거나 이슈를 제출하려면 https://github.com/Tylous/Freeze를 참조하세요. Freeze 추가 정보 이 프레임워크에서 사용된 기술에 대해 더 자세히 알고 싶다면 SourceZero 블로그를 참조하세요. 설명 Freeze는 EDR 보안 제어를 우회하여 쉘코드를 은밀하게 실행하기 위한 페이로드 생성 도구입니다. Freeze는 사용자랜드 EDR 후크를 제거할 뿐만 아니라 다른 엔드포인트 모니터링 제어를 우회하는 방식으로 쉘코드를 실행하기 위해 여러...

Freeze.rs

이 저장소는 보관되었습니다 최신 버전의 Freeze.rs를 보거나 이슈를 제출하려면 https://github.com/Tylous/Freeze.rs를 참조하십시오. Freeze.rs 추가 정보 이 프레임워크에서 사용된 기술에 대해 더 알고 싶다면 SourceZero 블로그와 원본 도구를 확인해 주세요. 설명 Freeze.rs는 EDR 보안 제어를 우회하여 쉘코드를 은밀하게 실행하는 페이로드 생성 도구입니다. Freeze.rs는 여러 기술을 활용하여 Userland EDR 후크를 제거할 뿐만 아니라 다른 엔드포인트 모니터링 제어...

wifit3 v0.0.5

wifit3 A standalone USB Wi-Fi auditor for Linux, Windows, and macOS. At least one of the supported USB adapters is required. Why? Cross-Platform: Runs identically on Linux, macOS, and Windows. Wireless Driver Heaven: Built-in wireless stack avoids kernel driver versioning hell and Windows' NDIS...

SUSE CVE-2026-53373

In the Linux kernel, the following vulnerability has been resolved: mm/vma: do not try to unmap a VMA if mmapprepare invoked from mmap The mmapprepare hook functionality includes the ability to invoke mmapprepare from the mmap hook of existing 'stacked' drivers, that is ones which are capable of...

CVE-2026-53373

In the Linux kernel, the following vulnerability has been resolved: mm/vma: do not try to unmap a VMA if mmapprepare invoked from mmap The mmapprepare hook functionality includes the ability to invoke mmapprepare from the mmap hook of existing 'stacked' drivers, that is ones which are capable of...

EUVD-2026-45446

In the Linux kernel, the following vulnerability has been resolved: mm/vma: do not try to unmap a VMA if mmapprepare invoked from mmap The mmapprepare hook functionality includes the ability to invoke mmapprepare from the mmap hook of existing 'stacked' drivers, that is ones which are capable of...

CVE-2026-21991

A DTrace component, dtprobed, allows arbitrary file creation through crafted USDT provider names...