hayabusa

Windows 事件日志快速取证时间线生成器与威胁狩猎工具。 由 Yamato Security 使用内存安全的 Rust 语言编写 —— 唯一完全支持 Sigma（包括 v2 关联规则）的开源工具。 !https://img.shi...

PhantomFS

假文件。真安全。 为Windows打造的虚拟蜜罐文件系统——引诱攻击者进入看似真实的目录，然后当场捕获他们。 什么是 PhantomFS？ PhantomFS 利用 Windows 投影文件系统（ProjFS） 呈现一个充满逼真假文件的虚拟目录——这些文件（财务报表、SSH 密钥、API 凭据、HR 电子表格、保密协议等）仅存在于内存中。在攻击者（或内部威胁）打开文件之前，不会有任何数据写入磁盘。 一旦文件被触碰，PhantomFS 将： 写入一条 Windows 事件日志 条目（应用程序日志，源为 PhantomFS） 向当前桌面会话发送一条 Toast 通知...

VindicateTool

Vindicate -brightgreen 一个面向网络管理员的 LLMNR/NBNS/mDNS 欺骗检测工具包 Vindicate 是什么？ Vindicate 是一款用于检测名称服务欺骗的工具，IT 网络攻击者常利用此类手段窃取用户凭据（例如 Windows Active Directory 密码）。它旨在检测诸如 Responder、Inveigh、NBNSpoof 以及 Metasploit 的 LLMNR、NBNS 和 mDNS 欺骗模块等黑客工具，同时避免误报。这使蓝队能够快速检测并隔离网络中的攻击者。它利用 Windows 事件日志与 Active Directory...

WELA

WELA Windows Event Log Analyzer ゑ羅 一款用于审计Windows事件日志设置的工具。 由 Yamato Security 创建 — 确保你真正记录了DFIR所需的关键事件。 📖 阅读文档 → 提供15种语言 — English · 日本語 · 繁體中文 · 한국어 · Deutsch · Türkçe · Français · Español · Português Brasil · Українська · हिन्दी · Bahasa Indonesia · မြန်မာဘာသာ · ไทย · العربية 🦅 关于 WELA Windows...

EvtMute

EvtMute 这是一个工具，允许你以攻击性方式使用 YARA 对 Windows 事件日志报告的事件应用过滤器。 使用方式 从这里获取最新版本。EvtMuteHook.dll 包含核心功能；注入后，它会应用一个临时过滤器，允许所有事件被报告。该过滤器可以动态更新，无需重新注入。我编写了 SharpEvtMute.exe，它是一个 C 程序集，可以通过 shad0w 中的 execute 或 cobalt strike 中的 execute-assembly 轻松运行。我将用 C 编写一个原生版本，以便与 shad0w 更好地集成。 禁用日志...

Get-AppLockerEventlog

Get-AppLockerEventlog 描述 此脚本将解析来自 Windows 事件日志的所有通道，提取与 AppLocker 相关的所有日志。该脚本将收集事件相关的所有重要信息，用于取证、威胁狩猎甚至故障排除。以下是我们从 Windows 事件日志中获取的日志： EXE 和 DLL, MSI 和脚本, 打包的应用部署, 打包的应用执行。 输出： 结果将在屏幕上显示 并且，结果将保存到 CSV 文件：AppLocker-log.csv 使用此脚本你将获得的详细实用信息包括： FileType, EventID, Message, User, Computer, EventTime,...

DCSYNCMonitor

DCSYNCMonitor 描述 该工具是一个应用程序/服务，可部署在域控制器上，用于对域控制器同步尝试进行警报。当检测到尝试时，该工具会向 Windows 事件日志写入一条事件。这些事件可以在 SIEM 中关联。此外，该工具可以接受一个有效 DC IP 列表，在此配置下，仅当 DC 同步尝试来自非 DC IP 时才发出警报。该工具旨在为蓝队提供一种无需商业工具（如 Microsoft ATA 或复杂的 IDS/IPS）即可对抗 DC 同步和 DC SHADOW 攻击的方法。 简要 YouTube 视频：https://www.youtube.com/watch?v=oLND9QZfaJ...

EnableWindowsLogSettings

Yamato Security 的 Windows 事件日志配置指南（面向 DFIR 与威胁狩猎） English | 日本語 这是又一份关于正确配置和监控 Windows 事件日志的指南，重点强调对 sigma 规则的日志记录。 本文仍在不断完善中，请定期回来查看更新。 TLDR 使用 Windows 默认审核设置时，只能使用约 1020% 的 sigma 检测规则。 即使已启用 Windows 日志，默认情况下日志的最大大小也只有 120 MB，因此证据很有可能很快被覆盖。 使用 YamatoSecurityConfigureWinEventLogs.bat 或 WELA Windo...

CVE-2026-33566

There is a cypher injection issue in LogonTracer prior to v2.0.0. If specially crafted Windows event log data is loaded, the contents of the database may be altered...

CVE-2026-33566

CVE-2026-33566 is a cypher injection issue in LogonTracer prior to v2.0.0. When specially crafted Windows event log data is loaded, the contents of the database may be altered. The issue is documented across multiple sources (NVD, CVE List, JVN) and is addressed by updating to LogonTracer v2.0.0....

Windows Service for User (S4U) Scheduled Task Persistence Event Trigger

This Metasploit module creates a scheduled task that will run using service-for-user S4U. This allows the scheduled task to run even as an unprivileged user that is not logged into the device. This will result in lower security context, allowing access to local resources only. The module requires...

EUVD-2011-2753

Malware in sbrugna...

EUVD-2011-0782

Malware in sbrugna...

The vulnerability of the Windows operating system’s event log allows a hacker to trigger a memory buffer overflow and re-write the XML log generated by the task scheduler.

The vulnerability of Windows operating system event logs is related to insufficient checking of values in XML log fields. Exploiting this vulnerability can allow an attacker to cause a memory buffer overflow in the event log and re-write it by sending a specially crafted XML file...

MAL-2025-191933 Malicious code in win32evtlog (PyPI)

--- -= Per source details. Do not edit below this line.=- Source: kam193 4aba891520e5d5ae607dd5069c1f70512a339cbfeca374b680328cf1e406d3ad Research packages targeting typosquatting and dependency confusions, without really harmful behaviour - just calling home through DNS resolver. Related to...

The vulnerability of the EVTX IrisEVTXModule file processing module arises from incorrect restrictions on the path name of the restricted directory. This allows attackers to execute arbitrary code or perform Server Side Template Injection (SSTI) attacks.

The vulnerability of the EVTX IrisEVTXModule file processing module is related to incorrect restrictions on the path name to the restricted directory. Exploiting this vulnerability allows a malicious actor to execute arbitrary code or perform Server Side Template Injection SSTI attacks...

PT-2024-15605 · Code Projects +1 · Code-Projects Fighting Cock Information System +1

Name of the Vulnerable Software and Affected Versions: code-projects Fighting Cock Information System version 1.0 Windows Event Log affected versions not specified Description: A critical issue has been identified, allowing for SQL injection through the manipulation of the type feed argument in t...

Unable to open license error recorded in Windows event log

The Windows Event Log frequently shows an error that the license cannot be opened. The following error appears when adding a Citrix license file .lic and checking the event log. Source: CitrixLicensing Event ID: 20754 Error: Unable to open license file. Please ensure that the file exists and is...

Joining Server Group failed with error "Exception attempting to authorize, TCP error code 10060"

Joining the Server Group failed with the following errors. Studio UI: Please refer to the Windows Event Log on the Authorizer details. Windows Event Log: Citrix Cluster Join Service,1,2201,"Join failed. Exception attempting to authorize. Could not connect to...

Researchers Detail Windows Event Log Vulnerabilities: LogCrusher and OverLog

Cybersecurity researchers have disclosed details about a pair of vulnerabilities in Microsoft Windows, one of which could be exploited to result in a denial-of-service DoS. The exploits, dubbed LogCrusher and OverLog by Varonis, take aim at the EventLog Remoting Protocol MS-EVEN, which enables...