CVE-2023-36003

CVE-2023-36003：Windows Defender 利用保护绕过 PoC 本仓库包含 CVE-2023-36003 的概念验证（PoC），这是一个影响 Windows Defender 利用保护的关键安全功能绕过漏洞。 概述 CVE-2023-36003 是 Windows Defender 中的一个漏洞，允许攻击者绕过旨在防止漏洞执行的缓解功能。成功利用后，恶意软件或恶意代码可规避标准的利用保护机制，从而增加系统被成功入侵的风险。 漏洞类型： 安全功能绕过 受影响组件： Windows Defender / 利用保护 发现/记录日期： 2023 年 11 月（微软补丁星期二...

WDExtract

WDExtract vdmファイルからWindows Defenderデータベースを抽出し、展開する このプログラムは現状のまま配布され、いかなる保証もありません。 公式サポートはありません。このツールが気に入ったら、自由に貢献してください。 機能 Windows Defender/Microsoft Security EssentialsのVDMコンテナを展開します。 Malicious Software Removal Tool MRT.exe に埋め込まれたVDMコンテナを復号します。 展開せずに生のRMDXコンテナを抽出します（-ecスイッチ）。...

KDStab

KDStab 2022年6月28日 : Microsoftは、MsMpEng.exeのトークンへのハンドルを開くことを防ぐパッチをリリースしました。そのため、このツールのKillDefender部分は機能しなくなりました。Backstabは引き続き動作するはずです。パッチIDは不明ですが、未パッチの古いシステムでは動作する可能性があります。Win10 21H2およびWin11で確認済みです。 これは、YaxserのBackstabとpwn1sherのKillDefenderを組み合わせて実装したBeacon Object Fileで、Cobalt Strikeで使用するためのものです。...

CVE-2017-8625_Bypass_UMCI

Windows Defender Device Guard 是什么？ Windows Defender Device Guard 是一系列与企业相关的硬件和软件安全功能的组合，当它们一起配置时，将锁定设备，使其只能运行你在代码完整性策略中定义的受信任应用程序。如果应用不受信任，它就无法运行，仅此而已。配合满足基本要求的硬件，这也意味着即使攻击者设法控制了 Windows 内核，他也很难运行恶意可执行代码。配合合适的硬件，Windows Defender Device Guard 可以利用 Windows 10（在 Enterprise 和 Education 桌面 SKU 以及所有...

maps_scanner

MAPS Cloud Scanner 一款用于与 Windows Defender 的 MAPS （Microsoft Active Protection Service，微软主动保护服务）云文件信誉及动态签名交付系统交互的研究工具。 MAPS 是驱动 Defender 实时防护判定、样本提交流水线以及动态签名（SDN/DSS）交付的云后端。该工具使用与 Defender 客户端在线上相同的 Bond CompactBinaryV1 协议，能够直接与 MAPS 端点进行交互，用于安全研究目的。 功能特性 文件扫描 - 向 MAPS...

Loki

🧙‍♂️ Loki 命令与控制（C2） Loki 是一个用 Node.js 编写的阶段一命令与控制（C2）框架，旨在对易受攻击的 Electron 应用实施脚本劫持（script-jacking） MITRE ATT&CK T1218.015。Loki 专为红队行动而开发，通过利用受信任的、已签名的 Electron 应用，实现规避安全软件并绕过应用程序控制。 脚本劫持通过使用任意 Node.js 代码修改 Electron 应用在运行时加载的 JavaScript 文件，从而劫持其执行流程。该技术可用于： 对 Electron 应用植入后门 掏空 Electron 应用...

nim-shell

Nim-Shell Reverse shell that can bypass EDR and windows defender detection Please do not upload to VirusTotal 𝗜𝗡𝗦𝗧𝗔𝗟𝗟𝗔𝗧𝗜𝗢𝗡 𝗜𝗡𝗦𝗧𝗥𝗨𝗖𝗧𝗜𝗢𝗡𝗦 $ apt install nim Compilation nim c -d:mingw --app:gui nimshell.nim Change the IP address and port number you want to listen to in the nimshell.nim file accordin...

nim-shell

Nim-Shell EDRおよびWindows Defenderの検出をバイパスできるリバースシェル VirusTotalにアップロードしないでください 𝗜𝗡𝗦𝗧𝗔𝗟𝗟𝗔𝗧𝗜𝗢𝗡 𝗜𝗡𝗦𝗧𝗥𝗨𝗖𝗧𝗜𝗢𝗡𝗦 $ apt install nim コンパイル nim c -d:mingw --app:gui nimshell.nim nimshell.nimファイル内のリッスンしたいIPアドレスとポート番号をデバイスに合わせて変更してください。 そしてリッスン $ nc -nvlp 4444...

WinDefenderKiller

WinDefenderKiller PermanentDisablefromRegistry 用于通过注册表项永久禁用 Windows Defender 的 C++ 代码 只需编译并执行即可！ 当我重启它时： BYOVDWindowsDefenderKiller 该模块实现了 BYOVD（自带易受攻击驱动程序，Bring Your Own Vulnerable Driver）技术，通过持续终止 Windows Defender 的进程来禁用它。 加载一个已签名的易受攻击驱动程序，以获得内核级访问权限，从而使程序能够在循环中反复终止 MsMpEng.exe 服务。 驱动程序...

FUD-UUID-Shellcode

FUD-UUID-Shellcode はじめに C++ を使用した別のシェルコードインジェクション手法で、XOR 暗号の魔術と UUID 文字列の 狂気 を使って Windows Defender を回避しようと試みます :。 動作の仕組み シェルコードの生成 まず、バイナリ形式でペイロードを生成します（Havoc、CobaltStrike、msfvenom のいずれかを使用）。例えば msfvenom では以下のように行います（使用しているペイロードは 説明用 です。任意のペイロードを使用できます）： msfvenom -p windows/messagebox -f raw -o...

SNEK_Equinox

SNEK Equinox 我要感谢 Nightmare-Eclipse 从项目 UnDefend 中获得的灵感（非个人层面）—— https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend: 有趣的是，我找到了一种方法，可以向 EDR 的 Web 控制台谎报 Defender 正在运行且已更新至最新版本，即使实际上并非如此。我曾考虑发布代码，但仔细想想，这会造成太大的破坏，所以目前还是先藏起来吧。 - Nightmare-Eclipse...

CVE-2022-30190-follina

CVE-2022-30190-follina 这只是针对新MSDT-Exploit的又一个PoC 要编辑该文档，只需用7z、xarchiver等打开，然后更改 word\rels\document.xml.rels 中的值为你的IP。 该漏洞利用必须在 window.location.href 之前包含至少3541个字符，并且这些字符必须在脚本标签内。现在大约有9000个，只是为了确保。 更多关于该漏洞的信息：...

BlueSAM

BlueSAM BOF Cobalt StrikeのBeacon Object FileとしてBlueHammerを移植したもので、Windows Defenderのアップデート/VSS動作を介してSAMデータベースのコピーを取得し、Beaconからオフラインのレジストリデータを処理しようとします。 元のPoCはNightmare-Eclipse氏のBlueHammer（https://github.com/Nightmare-Eclipse/BlueHammer）に感謝します。 始め方 1. リポジトリをクローンする 2. make を実行する 使用方法 1...

onelinepy

onelinepy Python Obfuscator for FUD Python Code. Download & Run git clone https://github.com/spicesouls/onelinepy cd onelinepy chmod +x setup.sh ./setup.sh onelinepy Usage Guide | || | . | | -| | | | -| . | | |Python |||||||||| | |Obfuscator || || usage: oneline.py -h -m M -i I --script SCRIPT...

AMSIext

AMSIext AMSIext 是一款 Firefox 和 Chrome 插件，允许你从浏览器向 AMSI 发送任意数据流。AMSI 是用于将 RAM 中的内容与 Windows Defender（或任何其他端点安全系统）通信的方式。这意味着在浏览网页时，AMSIext 会在恶意 JavaScript、PowerShell 等内容甚至可能被执行或下载到你的系统之前，提前向你发出警报！ AMSI 是 Windows 10 中将内存中的数据发送到首选防病毒解决方案的原生方式。它在 PowerShell 中默认处于活动状态，并且（很快）将在 Office...

gundog

gundog gundog - PowerShell based guided hunting in Microsoft 365 Defender Gundog provides you with guided hunting in Microsoft 365 Defender. Especially if not only for Email and Endpoint Alerts at the moment. Functionality You provide an AlertID you might received via Email notification and gundo...

charlotte

charlotte c++ fully undetected shellcode launcher ; releasing this to celebrate the birth of my newborn description 13/05/2021: 1. c++ shellcode launcher, fully undetected 0/26 as of 13th May 2021. 2. dynamic invoking of win32 api functions 3. XOR encryption of shellcode and function names 4...

CheckPlz

CheckPlz CheckPlz 是流行的 ThreatCheck 和 GoCheck 工具的 Rust 改编版，旨在利用 AMSI（反恶意软件扫描接口）和 Windows Defender 扫描文件以发现潜在威胁。通过精确隔离恶意内容并提供全面的分析，CheckPlz 提供了增强且高效的文件扫描体验。 主要特性 AMSI 集成： 对缓冲区进行精确扫描以检测威胁。 二分查找威胁隔离： 精确定位导致检测的文件片段。 十六进制转储分析： 通过详细的十六进制和 ASCII 转储可视化恶意内容。 调试支持： 启用详细输出以获得更深入的信息。 可自定义输出： 选择原始输出或彩色、友好的终端输出。...

Nim-Reverse-Shell

Nim 反向 Shell 一个用 Nim 编写的简单反向 Shell，可绕过 Windows Defender 检测（详见下方“已测试操作系统”部分）。此代码仅供教育用途 。 已测试操作系统 Windows 10 10.0.19045 Windows 11 10.0.22621 编译 代码可以通过 Nim 以多种方式编译。在此示例中，代码使用 MinGW 编译为 EXE，并在执行后在受害者后台运行（得益于 "--app:gui" 标志）。我强烈建议按照以下示例进行操作，以尽可能减少检测。 nim c -d:mingw --app:gui revshell.nim...

NullGate

NullGate 本项目实现了一种便捷且现代的方式来使用 NTAPI 函数，通过间接系统调用（indirect syscalls），并结合了 FreshyCalls 方法，在动态获取系统调用编号方面做了一点改动。 它还使用了一种我尚未见他人提及的技术来绕过 Windows Defender 的内存扫描。 该项目使用该库实现了一个经典的 PoC 进程注入器。 同时提供了一些便捷的加密函数。 演示 构建 要构建示例，请使用 -DNULLGATEBUILDSAMPLE=ON。 如果你直接构建 nullgate，产物会位于 /sample.exe；如果是作为依赖构建，则在...