maps_scanner

MAPS Cloud Scanner 一款用于与 Windows Defender 的 MAPS （Microsoft Active Protection Service，微软主动保护服务）云文件信誉及动态签名交付系统交互的研究工具。 MAPS 是驱动 Defender 实时防护判定、样本提交流水线以及动态签名（SDN/DSS）交付的云后端。该工具使用与 Defender 客户端在线上相同的 Bond CompactBinaryV1 协议，能够直接与 MAPS 端点进行交互，用于安全研究目的。 功能特性 文件扫描 - 向 MAPS...

CVE-2017-0290-

CVE-2017-0290- 你好，我是来自利比亚的 Gihad Alkmaty 脚本 CVE-2017-0290- 专家击破 Windows DEFINDER windows/8.1/10/...

ShieldCrash

ShieldCrash Windows Defender 0day 漏洞 微软未能正确修补 ShieldBreak CVE-2026-69414，在特定条件下仍有可能触发由 ShieldBreak 引起的完全相同的问题。虽然微软修复了多项内容以防止该问题被再次利用，但他们遗漏了一个仍可利用 ShieldBreak 的位置。 此 PoC 演示了在 2026 年 9 月补丁下以 SYSTEM 权限进行的任意文件读取，所有受支持的 Windows 版本均受影响。 我之后可能会将其重做为完整的 SYSTEM PoC，但目前我先发布这个骨架 PoC，因为我有点懒。...

Loki

🧙‍♂️ Loki 命令与控制（C2） Loki 是一个用 Node.js 编写的阶段一命令与控制（C2）框架，旨在对易受攻击的 Electron 应用实施脚本劫持（script-jacking） MITRE ATT&CK T1218.015。Loki 专为红队行动而开发，通过利用受信任的、已签名的 Electron 应用，实现规避安全软件并绕过应用程序控制。 脚本劫持通过使用任意 Node.js 代码修改 Electron 应用在运行时加载的 JavaScript 文件，从而劫持其执行流程。该技术可用于： 对 Electron 应用植入后门 掏空 Electron 应用...

WinDefenderKiller

WinDefenderKiller PermanentDisablefromRegistry 用于通过注册表项永久禁用 Windows Defender 的 C++ 代码 只需编译并执行即可！ 当我重启它时： BYOVDWindowsDefenderKiller 该模块实现了 BYOVD（自带易受攻击驱动程序，Bring Your Own Vulnerable Driver）技术，通过持续终止 Windows Defender 的进程来禁用它。 加载一个已签名的易受攻击驱动程序，以获得内核级访问权限，从而使程序能够在循环中反复终止 MsMpEng.exe 服务。 驱动程序...

SNEK_Equinox

SNEK Equinox 我要感谢 Nightmare-Eclipse 从项目 UnDefend 中获得的灵感（非个人层面）—— https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend: 有趣的是，我找到了一种方法，可以向 EDR 的 Web 控制台谎报 Defender 正在运行且已更新至最新版本，即使实际上并非如此。我曾考虑发布代码，但仔细想想，这会造成太大的破坏，所以目前还是先藏起来吧。 - Nightmare-Eclipse...

onelinepy

onelinepy Python Obfuscator for FUD Python Code. Download & Run root@kitploit: git clone https://github.com/spicesouls/onelinepy cd onelinepy chmod +x setup.sh ./setup.sh onelinepy Usage Guide root@kitploit: | || | . | | -| | | | -| . | | |Python |||||||||| | |Obfuscator || || usage: oneline.py -...

charlotte

charlotte c++ fully undetected shellcode launcher ; releasing this to celebrate the birth of my newborn description 13/05/2021: 1. c++ shellcode launcher, fully undetected 0/26 as of 13th May 2021. 2. dynamic invoking of win32 api functions 3. XOR encryption of shellcode and function names 4...

RoguePlanet

RoguePlanet Vulnerabilidad de Windows Defender de RoguePlanet ¡Bienvenidos de nuevo a todos! El exploit es una condición de carrera, así que es un acierto o un fracaso. He logrado obtener una tasa de éxito del 100% en algunas máquinas, mientras que en otras le costó funcionar. El exploit se ha...

Nim-Reverse-Shell

Nim リバースシェル Nimで書かれたシンプルなリバースシェルで、Windows Defenderの検出を回避します（詳細については、以下の「テスト済みオペレーティングシステム」セクションを参照してください）。このコードは教育目的のみで作成されています。 テスト済みオペレーティングシステム Windows 10 10.0.19045 Windows 11 10.0.22621 コンパイル...

CVE-2023-36003

CVE-2023-36003：Windows Defender 利用保护绕过 PoC 本仓库包含 CVE-2023-36003 的概念验证（PoC），这是一个影响 Windows Defender 利用保护的关键安全功能绕过漏洞。 概述 CVE-2023-36003 是 Windows Defender 中的一个漏洞，允许攻击者绕过旨在防止漏洞执行的缓解功能。成功利用后，恶意软件或恶意代码可规避标准的利用保护机制，从而增加系统被成功入侵的风险。 漏洞类型： 安全功能绕过 受影响组件： Windows Defender / 利用保护 发现/记录日期： 2023 年 11 月（微软补丁星期二...

FUD-UUID-Shellcode

FUD-UUID-Shellcode はじめに C++ を使用した別のシェルコードインジェクション手法で、XOR 暗号の魔術と UUID 文字列の 狂気 を使って Windows Defender を回避しようと試みます :。 動作の仕組み シェルコードの生成 まず、バイナリ形式でペイロードを生成します（Havoc、CobaltStrike、msfvenom のいずれかを使用）。例えば msfvenom では以下のように行います（使用しているペイロードは 説明用 です。任意のペイロードを使用できます）： root@kitploit: msfvenom -p...

nim-shell

Nim-Shell Reverse shell that can bypass EDR and windows defender detection Please do not upload to VirusTotal 𝗜𝗡𝗦𝗧𝗔𝗟𝗟𝗔𝗧𝗜𝗢𝗡 𝗜𝗡𝗦𝗧𝗥𝗨𝗖𝗧𝗜𝗢𝗡𝗦 root@kitploit: $ apt install nim Compilation nim c -d:mingw --app:gui nimshell.nim Change the IP address and port number you want to listen to in the nimshell.ni...

nim-shell

Nim-Shell 能够绕过EDR和Windows Defender检测的反向Shell 请勿上传至VirusTotal 安装说明 root@kitploit: $ apt install nim 编译 nim c -d:mingw --app:gui nimshell.nim 根据您的设备，更改nimshell.nim文件中您要监听的IP地址和端口号。 监听 root@kitploit: $ nc -nvlp 4444...

KDStab

KDStab 2022年6月28日 ：微软已推出补丁，阻止打开 MsMpEng.exe 令牌的句柄，因此本工具的 KillDefender 部分不再可用。Backstab 仍应有效。尚不清楚补丁 ID，可能在未打补丁的旧系统上仍可工作。已在 Win10 21H2 和 Win11 上验证。 这是一个结合了 Yaxser 的 Backstab 和 pwn1sher 的 KillDefender 的 Beacon 对象文件实现，用于 Cobalt Strike。 介绍 KDStab 是一款后渗透工具，用于击败 Windows...

BlueSAM

BlueSAM BOF 这是 BlueHammer 的 Cobalt Strike Beacon 对象文件改编版，试图通过 Windows Defender 更新/VSS 行为获取 SAM 数据库的副本，并处理来自 Beacon 的离线注册表数据。 致谢 Nightmare-Eclipse 的 BlueHammer https://github.com/Nightmare-Eclipse/BlueHammer 提供了原始 PoC。 开始 1. 使用 Git 克隆仓库 2. 运行 make 使用方法 1. 将 bluesam.cna 脚本导入 Cobalt Strike 2. 使用命令...

CVE-2022-30190-follina

CVE-2022-30190-follina 这只是针对新MSDT-Exploit的又一个PoC 要编辑该文档，只需用7z、xarchiver等打开，然后更改 word\rels\document.xml.rels 中的值为你的IP。 该漏洞利用必须在 window.location.href 之前包含至少3541个字符，并且这些字符必须在脚本标签内。现在大约有9000个，只是为了确保。 更多关于该漏洞的信息：...

gundog

gundog gundog - PowerShell based guided hunting in Microsoft 365 Defender Gundog provides you with guided hunting in Microsoft 365 Defender. Especially if not only for Email and Endpoint Alerts at the moment. Functionality You provide an AlertID you might received via Email notification and gundo...

WDExtract

WDExtract 从vdm文件中提取Windows Defender数据库并解包 本程序按原样分发，不提供任何担保； 无官方支持，如果你喜欢该工具，欢迎贡献。 功能 解包Windows Defender/Microsoft Security Essentials的VDM容器； 解密恶意软件删除工具（MRT.exe）中嵌入的VDM容器； 在不解包的情况下提取原始RMDX容器（-ec开关）； 将基础VDM文件与delta文件合并（-m开关）； 从解包/解密/合并后的容器中即时提取所有PE映像（-e开关）： 转储VDLL（虚拟DLL）； 转储VFS（虚拟文件系统）内容； 转储签名辅助映像；...

AMSIext

AMSIext AMSIext 是一款 Firefox 和 Chrome 插件，允许你从浏览器向 AMSI 发送任意数据流。AMSI 是用于将 RAM 中的内容与 Windows Defender（或任何其他端点安全系统）通信的方式。这意味着在浏览网页时，AMSIext 会在恶意 JavaScript、PowerShell 等内容甚至可能被执行或下载到你的系统之前，提前向你发出警报！ AMSI 是 Windows 10 中将内存中的数据发送到首选防病毒解决方案的原生方式。它在 PowerShell 中默认处于活动状态，并且（很快）将在 Office...