SignHere

SignHere 简介 CVE-2017-11882 ——Microsoft Office 2007 Service Pack 3、Microsoft Office 2010 Service Pack 2、Microsoft Office 2013 Service Pack 1 和 Microsoft Office 2016 的独特漏洞标识符，允许攻击者在当前用户的上下文中运行代码，原因是未正确处理内存中的对象，即所谓的“Microsoft Office 内存损坏漏洞”。 该实现包括创建用于构建恶意 rtf 文档和 VBScript 中 payload 的程序。 工作原理 rtf...

Malicious code in studiocode_eligibility (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a49b1af8bbf0463bb38d3049e59c28b0dcc8d2e3e5ef54611b4e77bddfdd36dc package.json declares a postinstall hook wscript.exe 4444.vbs that automatically executes a 765KB VBScript shipped in the tarball on Windows...

e013

e013 WindowsのWiFiパスワードを窃取する小さなVBScript WifiName.txtファイルには、VBScriptをサポートするすべてのWindowsコンピュータに保存されているすべてのWiFiパスワードが表示されます。 ⚠️ メモ帳でスクリプトを変更しないでください。テキストエディタ（GNU Emacs、Vim、Atom、Vscode、Sublime textなど）を使用してください。 ⚠️...

cve-2018-8174_analysis

剖析现代浏览器漏洞利用：CVE-2018-8174 案例分析 概述 当这个漏洞利用在四月和五月之交刚刚出现时，它引起了我的兴趣，因为尽管混淆程度很高，代码结构却显得井井有条，而且漏洞利用代码足够短小，使分析变得更加简单。我下载了 GitHub 上的 POC，并认为它是深入剖析的好候选。当时已经有两篇分析发布，一篇来自 360，另一篇来自 卡巴斯基。它们都帮助我理解了其工作原理，但还不足以让我深入了解该漏洞利用的每一个方面。因此我决定自己进行分析并分享我的发现。 预处理 首先，为了去除整数混淆，我在 Python 脚本中使用了正则表达式替换： import re def...

WinRAR-CVE-2025-8088-PoC-RAR

WinRAR-CVE-2025-8088-PoC-RAR WinRAR 零日漏洞 CVE-2025-8088 的 PoC RAR 存档 将 MyResumefinal.rar 放置在下载目录中，并使用“解压到 MyResumefinal”或通过易受攻击的 WinRAR 的 UI 进行解压，从而运行该漏洞！: 你会看到一个名为“WindowsConfigurationFileRun1.vbs”的 VBScript 文件被放入启动目录，当机器重启时会弹出一个消息框显示：“漏洞利用成功：WinRAR CVE-2025-8088”。 再见！ - knight0x07...

MS16-051-poc

CVE-2016-0189 CVE-2016-0189 的概念验证漏洞利用代码（IE11中的VBScript内存损坏） 已在 Windows 10 IE 11 上测试。 漏洞分析 https://www.deamwork.com/archives/patch-analysis-of-cve-2016-0189.orz6 运行方式 1. 下载 support/.dll（或自行编译.cpp）和 exploit/.html 到某个目录。 2. 使用 Web 服务器（或 Python 的简易 HTTP 服务器）托管该目录。 3. 使用受害者的 IE 浏览器访问...

vbsmin

VBSmin VBScript minifier Features ⬜️ Remove extra whitespace Trailing whitespace Leading whitespace Blank lines Inline extra spaces 💬 Remove comments Single quote start of the line Single quote inline REM 1️⃣ One-line Line splitting underscore Colon Quick start Quick install $ gem install vbsmin...

vbsmin

VBSmin VBScript 压缩工具 特性 ⬜️ 去除多余空白 行尾空白 行首空白 空行 行内多余空格 💬 移除注释 单引号（行首） 单引号（行内） REM 1️⃣ 单行化 分行连接（下划线） 冒号 快速开始 快速安装 $ gem install vbsmin 查看更多安装选项。 默认用法：命令行 $ vbsmin samples/features.vbs 原文件大小：344 字节 压缩后大小：244 字节 节省空间：100 字节 原文件路径：samples/features.vbs 压缩文件路径：samples/features.min.vbs 默认用法：库 require...

ruler

简介 Ruler 是一款工具，允许你通过 MAPI/HTTP 或 RPC/HTTP 协议远程与 Exchange 服务器交互。其主要目标是滥用 Outlook 客户端侧的特性，远程获取一个 Shell。 关于 Ruler 的实现细节以及 MAPI 的背景信息，可以在我们的博客文章中找到： Ruler 发布 使用 Ruler 进行哈希传递 Outlook 表单与 Shell Outlook 主页——另一个 Ruler 攻击向量 查看实际演示： YouTube 上的 Ruler 它能做什么？ Ruler 拥有多项功能，未来还计划添加更多功能。这些功能包括： 枚举有效用户 创建新的恶意邮件规则...

EDRUnChoker

EDRUnChoker 无文件WMI修复方案，用于EDRChoker，抵御QoS滥用（pacer.sys），该滥用将EDR代理的网络带宽限制到接近零。 在root\subscription中注册一个永久订阅（磁盘上无文件）。一个5秒定时器运行嵌入的VBScript，该脚本使用WbemContextPolicyStore枚举 ActiveStore和GPO:localhost 上的QoS策略——普通的WMI ExecQuery会遗漏由New-NetQosPolicy/EDRChoker创建的ActiveStore策略——并移除针对已知安全产品或激进速率（≤1 Mbps）的恶意应用路径限流。...

CVE-2018-8174

CVE-2018-8174 RCE en MS Word y MS WordPad mediante el motor VBS de IE RCE en MS Word y MS WordPad a través de la RCE de VBS de IE https://github.com/smgorelik/Windows-RCE-exploits/tree/master/Web/VBScript Guarda el index.html en el servidor web luego usa el script de Python para generar el exploi...

msidump

msidump MSI Dump - a tool that analyzes malicious MSI installation packages, extracts files, streams, binary data and incorporates YARA scanner. On Macro-enabled Office documents we can quickly use oletools mraptor to determine whether document is malicious. If we want to dissect it further, we...

SMBRat

SMBRat 一个基于 Visual Basic Script 的 Windows 远程管理工具 理念 在 Active Directory 网络等 Windows 环境 中， SMB 流量会变得非常臃肿。 所有主机都会从 SYSVOL 获取 策略 ，配置需要远程文件才能工作，桌面快捷方式通常指向 \something\else\in\the\network.exe。 没有人会注意到多一次连接尝试。 对吧？ - 尤其是当它成功时（通常只监控 防火墙 拒绝 事件已成为一种时尚） 组成部分 代理 便于文档/归档 agent 是一个运行在受感染主机上的 Visual Basic 脚本...

CVE-2018-8174-msf

CVE-2018-8174-msf 这是一个 metasploit 模块，用于创建一个恶意 Word 文档以利用 CVE-2018-8174 — VBScript 内存损坏漏洞。 该模块是对野外发现的漏洞利用样本的快速移植。该漏洞利用仅适用于 32 位 Microsoft Office。 这个模块有很多需要改进的地方，但如果我有时间，将来会更新它。 安装 1. 将 CVE-2018-8174.rb 复制到 /usr/share/metasploit-framework/modules/exploits/windows/fileformat/ 2. 将 CVE-2018-8174.rtf...

CVE-2017-11882

CVE-2017-11882 原脚本来自于 https://github.com/embedi/CVE-2017-11882 CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ MITRE CVE-2017-11882: https://vulners.com/cve/CVE-2017-11882 Research:...

CVE-2018-8174-msf

CVE-2018-8174-msf Este es un módulo de metasploit que crea un documento de Word malicioso para explotar CVE-2018-8174 - vulnerabilidad de corrupción de memoria en VBScript. Este módulo es un port muy rápido y utiliza la muestra de exploit que se encontró en la naturaleza. El exploit solo funciona...

vbSparkle

什么是 vbSparkle？ vbSparkle 是一个基于部分求值（partial-evaluation）的跨平台 Visual Basic 反混淆器 ，主要致力于分析使用 VBScript 和 VBA（Office 宏）编写的恶意代码。 它使用原生 C 编写，提供 .Net Standard 库 ，并可在 Windows、Linux、MacOS 等系统上运行。 Visual Basic Script 和 VBA 的解析通过使用 ANTLR 语法和词法解析器完成。 安装 包管理器 Install-Package vbSparkle .Net CLI dotnet add package...

ie11_vbscript_exploit

IE11 VBScript 漏洞利用 CVE-2018-8174 与 CVE-2019-0768 的漏洞利用生成器（通过 IE11 中 VBScript 执行实现远程代码执行） 先决条件 Metasploit msfvenom 使用方法 python ie11vbscript.py 监听IP 监听端口 说明 1. 使用此脚本生成 "exploit.html" 2. 将 html 文件托管在你的服务器上 3. 在 Metasploit 中设置 windows/meterpreter/reversetcp 的 handler 4. 在你的 handler 中，将 AutoRunScript...

AMSI-Bypass

AMSI-Bypass AMSI 触发器列表（VBA、JScript / VBScript） 参考 : MISC 104 - AMSI: Fonctionnement et Contournements 在 VBA、JScript 和 VBScript 中，AMSI 使用循环缓冲区记录指令，并维护一份被认为可疑的函数列表。使用这些黑名单函数中的任何一个，都会触发已注册的 AMSI 提供程序对循环缓冲区进行扫描。 本仓库包含以 CRC32 校验和形式定义的触发器列表，这些列表来自 VBE7.DLL、jscript.dll 和 vbscript.dll。列表采用 CSV...

Malicious code in booking-eligibility (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 2c93f5b06720659d8e0cc8efb7d6bd75f577605e84c27cfb600a795081c27654 package.json declares a postinstall lifecycle hook wscript.exe 4444.vbs that runs Windows Script Host against a .vbs file on npm install. The...