1727 matches found
TokenUniverse
Token Universe Token Universe 是一个用于实验和研究 Windows 安全机制 的高级工具。它提供了创建、查看、模拟和修改访问令牌、生成进程、管理本地安全机构、检查可用访问权限以及修改多种对象的安全设置等功能的用户界面。该程序可以在多种权限级别下运行并（至少部分地）提供有价值的功能，从 LPAC AppContainer 沙箱到具有 SeTcbPrivilege 和 SeCreateTokenPrivilege 的 SYSTEM。 下载 该工具支持 Windows 7 及以上版本。请参阅 发行版 页面获取预编译的二进制文件。...
EventHorizon
EventHorizon EventHorizon 是一款旨在为安全分析师和/或研究人员提供 Windows 事件跟踪 ETW 遥测数据的工具，结合类似 sigma 的规则，可实现强大的端点检测与响应能力。但需说明，EventHorizon 绝不可替代正规解决方案。本项目主要目的是简化 ETW 遥测数据的收集过程，并支持在不编写代码的情况下生成检测规则。为提升易用性，EventHorizon 的安装过程力求尽可能简单：提供 .msi 安装程序（参见 releases 标签）以及基本的安装说明（参见 wiki）。 !WARNING 请仅在测试环境 （非生产环境）中使用...
ludus-defender-lab
Ludus Defender 实验室 用于 Windows 安全实验室的 Ludus range 配置和 Ansible 角色，预先配置了 MDE 和 MDI，并包含一个完全错误配置的 ADCS 安装，用于检测覆盖测试。 配置| VMs| 用途 ---|---|--- zsec-mde-mdi-lab.yml| DC01 + WKS01| 包含 ADCS ESC1–ESC15 的 MDE/MDI 检测实验室 要求 已安装并配置 Ludus 已在你的环境中设置 LUDUSAPIKEY VM 模板：win2022-server-x64-template 部署 Install roles ru...
concealed_position
Concealed Position Concealed Position is a local privilege escalation attack against Windows using the concept of "Bring Your Own Vulnerability". Specifically, Concealed Position CP uses the as designed package point and print logic in Windows that allows a low privilege user to stage and install...
commando-vm
什么是 CommandoVM？ Complete Mandiant Offensive VM（“CommandoVM”） 是一款全面且可定制的、基于 Windows 的安全发行版，专为渗透测试和红队行动而设计。CommandoVM 附带了一系列 Kali Linux 中未包含的多种进攻性工具，这些工具突显了 Windows 作为攻击平台的有效性。 系统要求 Windows 10 不支持 Insider Preview 版本的 Windows 60 GB 硬盘 2 GB 内存 推荐配置 Windows 10 22H2 80+ GB 硬盘 4+ GB 内存 2 个网络适配器 安装说明 部署一...
PrivescCheck
PrivescCheck Quickly identify common Windows vulnerabilities and configuration issues that are not necessarily covered by public security standards, and collect useful information for exploitation and post-exploitation tasks. !IMPORTANT A major aspect to be aware of when using this tool is that a...
ctftool
CTFTOOL Just want to test the SYSTEM exploit? Click here. An Interactive CTF Exploration Tool This is ctftool, an interactive command line tool to experiment with CTF, a little-known protocol used on Windows to implement Text Services. This might be useful for studying Windows internals, debuggin...
WSASS
WSASS 这是一个利用旧版 WerfaultSecure.exe 程序来转储受 PPL（Protected Process Light，受保护进程轻量级）保护的进程（如 LSASS.EXE）内存的工具。 输出为 Windows MINIDUMP 格式。 该工具会自动将"MDMP" 魔数头替换为 PNG 魔数头。 转储完成后，你需要将文件开头的 4 字节魔数恢复为原始值：0x4D, 0x44, 0x4D, 0x50 "MDMP"。 命令行语法 WSASS.exe pathtowerfaultsecure.exe targetPID 示例：WSASS.exe...
CredsLeaker
CredsLeaker v4.x 特别感谢 @ApSecDev，他将这个项目提升到了一个新的水平！ 致敬！ 这个脚本曾经用来显示一个PowerShell凭据框并要求用户输入凭据。然而，这非常显眼。现在是时候利用Windows安全弹窗了！ 功能特性 AD域身份验证。 已在Windows 10（1809、1903、1909）和PowerShell 5.1上测试。需要在7/8/8.1/Server及不同PowerShell版本上测试。 可自定义（标题、消息等）。 增加了工作组支持（针对本地SAM进行验证）。 增加了参数支持。现在可以通过命令行自定义消息、标题、IP和端口。 此分支新增功能...
attack_monitor
Attack Monitor Attack Monitor 是一个用 Python 编写的应用程序，旨在增强 Windows 7/2008（及所有更新版本）工作站/服务器的安全监控能力，并自动化恶意软件的动态分析。 当前模式（互斥）： 端点检测 ED 恶意软件分析（在专用虚拟机上） 基于以下来源的事件： Windows 事件日志 Sysmon Watchdog（文件系统监控 Python 库） TShark（仅恶意软件分析模式） 当前版本 0.9.0 Alpha 联系方式 [email protected] 演示 支持的操作系统 Windows 7、8、10（x86 或 x64...
DarthSidious
Darth Sidious El objetivo es simple Compartir mi modesto conocimiento sobre la piratería de sistemas Windows. Esto se conoce comúnmente como ejercicios de red team. Sin embargo, este libro también se preocupa mucho por el equipo azul; los defensores. Es decir, ayudar a quienes trabajan como...
sysmon-config
sysmon-config | 适合所有人fork的Sysmon配置文件 这是一份Microsoft Sysinternals Sysmon配置文件模板，带有默认的高质量事件追踪功能。 该文件应能作为一个很好的起点，用于在自包含且易于访问的包中进行系统变更监控。此配置及其结果应能让你对Sysmon的能力有一个清晰的认识。请注意，这不会追踪诸如身份验证和其他对事件调查同样至关重要的Windows事件。 sysmonconfig-export.xml 因为几乎每一行都有注释，并且各个部分都附有说明，所以它还可以作为Sysmon的教程以及Windows系统中关键监控区域的指南。...
OWN-Defender
OWN-Defender — Investigación COM del Centro de seguridad de Windows OWN-Defender es un proyecto de investigación de seguridad de Windows centrado en comprender cómo el Centro de seguridad de Windows WSC representa y gestiona los productos de seguridad antivirus a través de sus interfaces COM. El...
mora-hwbp
Mora-HWBP — AMSI / WLDP / ETW Telemetry Hooking via Hardware Breakpoints A security-research Proof-of-Concept POC demonstrating hardware-breakpoint CPU debug register based function hooking as an alternative to traditional in-memory code patching. Purpose & Scope This repository is published...
TelemetrySource
TelemetrySource 该项目旨在映射来自各种遥测源中负责触发事件的功能。 主要映射表：事件映射 Google Sheet 目前已映射的源： Sysmon Windows 安全事件 Microsoft-Windows-Security-Auditing 威胁情报事件 Microsoft-Windows-Threat-Intelligence 每个源都有自己的 README 文件，其中包含理解映射工作方式所需的信息。 博客： 我已就“将这些事件追踪到 API”的方法撰写了几篇文章，如果您感兴趣，请阅读： Uncovering Windows Events - Part 1:...
CVE-2026-77899
Use after free in Windows Security Center allows an authorized attacker to elevate privileges locally...
EUVD-2026-73810
Use after free in Windows Security Health Service allows an authorized attacker to elevate privileges locally...
EUVD-2026-73291
Use after free in Windows Security Center allows an authorized attacker to elevate privileges locally...
CVE-2026-77899
CVE-2026-77899 is a use-after-free vulnerability in Windows Security Center that allows an authorized attacker to escalate privileges locally . The CVSS v3.1 score is 7.0 (HIGH) with a vector of AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, reflecting the need for low privileges and high attack complexity...
