Webmin_Exploit_reverse_shell

はじめに: Webmin Exploitは、Webminサービスの旧バージョンで悪用可能な、標的型のエクスプロイトです。このエクスプロイトは、悪意のあるコードを実行し、標的システムへの不正アクセスを得るために、さまざまな技術を使用します。 これには以下が含まれます: C言語とアセンブリコードの両方を使用して、標的システム上でコマンドを実行します。 アンチデバッグ、XOR復号、execveやprctlなどのシステムコールを利用して、リバースシェルを起動します。 特徴: アンチデバッグ: ptraceシステムコールを使用して、エクスプロイトのデバッグを防止します。 XOR復号:...

Dumpy

説明 このツールは、MiniDumpWriteDump を動的に呼び出して lsass のメモリ内容をダンプします。この処理は、lsass への新しいプロセス ハンドルを開かずに実行され、DInvokers を使用して悪意のある動作を検出しにくくしています。lsass に対して OpenProcess を呼び出さずに有効なプロセス ハンドルを取得するため、システム内のすべてのプロセス ハンドルが NtQuerySystemInformation、NtDuplicateObject、NtQueryObject、QueryFullProcessImageNameW を使用して分析されます。...

Shellcrypt

Shellcrypt 一个单文件跨平台的便捷工具，用于混淆给定的 shellcode 文件，并输出为可直接粘贴到源代码中的有用格式。 贡献者 这些贡献者值得在这里列出 An00bRektn github twitter ♥ 0xtejas github 加密方法 Shellcrypt 目前支持以下加密方法（未来还会更多！） AES 128-bit CBC ChaCha20 RC4 Salsa20 XOR 支持的输出格式 Shellcrypt 目前支持以下输出格式（未来还会更多！） C C Nim Golang Python Powershell Visual Basic for...

Simple-Polymorphic-Engine-SPE32

简单多态引擎 — SPE32 简单多态引擎（SPE32） 是一个用于加密代码和数据的简单多态引擎。 SPE32 允许你加密任何数据，并为该数据生成唯一 的解密代码。加密算法使用随机选择的指令和加密密钥。 每次生成的解密代码都会有所不同。 在 x86dbg 调试器中查看的多态解密代码 另一种多态代码变异，这次带有垃圾指令 SPE32 特性与状态 SPE32 引擎是一个业余项目，可用于演示什么是多态引擎。我在一段时间前编写了它，但我认为将其公开会是一个好主意。 整个代码是用 32 位汇编语言 为 MASM 编译器 编写的。 特性： 整个代码与位置无关（使用 delta offset 访问数据...

XorStringsNET

XorStringsNET .NETバイナリ用のシンプルかつ高速なXORベース文字列暗号化ツール XORStringsは、RXORと呼ぶシンプルなXORベースの暗号を実装しています。RXORは文字列を暗号化するだけでなく、文字の順序も反転させます。各文字列は一意のキーで暗号化されます。復号ルーチンで使用される引数もXOR暗号化されます。 仕組み XorStrings.exe コマンドラインを使用するか、難読化対象のバイナリをXorStrings実行ファイルにドラッグ＆ドロップしてください。 XORStringsは.NET Framework 4.6+および.NET...

KPOT-string-decrypter

KPOT-string-decrypter KPOT ステーラーの文字列を復号し、実行時にそれらを受け取る変数の隣にコメントとして設定するための IDA Python スクリプトです。動作は次のとおりです: mov または pop eax のいずれかを使用して、復号関数 2 つあり、そのためこのリポジトリには 2 つのスクリプトがあります のいずれかに eax で渡されるオフセットを取得します。 対応するサイズと XOR キーを読み取ることによって、配列上の文字列を復号します。 復号された文字列と、コメントとして設定された場所のオフセットを出力します。また、 復号できなかった文字列...

dark-doh

dark-doh.exe 公開版 目的: DoH 経由でファイルをダウンロードする、またはシェルコードをダウンロードして実行する（公開版には未実装） 実行例: dark-doh.exe file1 download google yourdomain.com DNSゾーン生成用のPythonサポートスクリプトを追加（py-prepzones.py）。 !!! 免責事項 !!! 作者は、dark-doh.exe をどのように使用するかについて、一切の責任を負いません。...

HeapCrypt

HeapCrypt Sleepをフックし、Sleepを独自の関数に置き換えることで、Sleep中にヒープを暗号化します。その関数はヒープを暗号化し、しばらく待機してからヒープを復号化します： 16bitキーxorヒープ暗号化： 16bitキーxorヒープ復号化： 参照： https://www.arashparsa.com/hook-heaps-and-live-free/...

Conflicker_analysis_scripts

Worm Conflicker 分析スクリプト conflickershellcodedecryptor.py - Conflicker/NetAPI ワームで使用されるシェルコードの復号を行います。1バイトXOR復号器です。 出力は次のようになります。 00000170 83 c6 07 e8 18 00 00 00 33 d2 52 52 8b cc 66 c7 |........3.RR..f.| 00000180 01 78 2e 51 ff 77 04 52 52 51 56 52 ff 37 ff e0 |.x.Q.w.RRQVR.7..| 00000190 ad 51 56...

zeek-xor-exe-plugin

Corelight::PEXOR XOR難読化されたWindows EXEを検出・復号するZeekプラグインです。 ファイルのXORに使用されたキーは自動的に発見され、ファイルを元のWindows実行ファイルへXORで復元するために使用されます。ファイルの難読化が解除されると、さらなる分析のためにファイル分析フレームワークに戻されます。 インストール ソースから .. code:: bash git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure...

KasperMeow

Kaspersky arkmon.sys KASLRバイパス：カーネルデバッグログ漏洩による攻撃 Kasperskyのアンチルートキットモニタードライバー（arkmon.sys）は、生のカーネルポインタを含むカーネルデバッグログを保存します。このログはXOR 0xCC + ROT13で「暗号化」されていますが、これは簡単に逆変換可能です。管理者ユーザーは誰でもIOCTLを介してこのログを読み取り、復号化できるため、KASLRを完全に無効化できます。 本稿執筆時点で、この概念実証は完全にパッチ適用されたWindows 11 25H2および最新のデータベース更新を適用したKaspersky...

Malicious code in @zaka13/thing (npm)

@zaka13/[email protected] ships the same disguised in-browser proxy kit as webpackbootstrap5 and webpackbootstrapscripts by the same publisher zaka13. Its YXBp.js loader matches those packages' index-z2b7r4.js same sha256: it XOR-decodes endpoints with a fixed key, injects remote scripts from...

MAL-2026-15824 Malicious code in @stellarshift/token-units (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a4433d82919da9c0972986247dd611eae3997b28fd54726ffbf9c48147c05211 Package advertises BigInt token-unit conversion helpers parseUnits/formatUnits but declares a postinstall hook scripts/postinstall.js that invokes...

MAL-2026-15822 Malicious code in @stellarshift/chain-metadata (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 932d9a57667edad733439fadfc1754573429369cb8e65fe094c7bed1ed81c5e6 The package's postinstall lifecycle script fetches and executes arbitrary code from a remote URL that is stored XOR-encoded in endpoint-registry.json...

Malicious code in @stellarshift/abi-tools (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector bebef764845634817dcc9905a146c3ba898707dcc9937ebfe0060a4f10852d27 On npm install, the package's postinstall hook resolves a URL that is stored as an XOR-encoded integer array in endpoint-registry.json self-labeled...

Malicious code in @stellarshift/token-units (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a4433d82919da9c0972986247dd611eae3997b28fd54726ffbf9c48147c05211 Package advertises BigInt token-unit conversion helpers parseUnits/formatUnits but declares a postinstall hook scripts/postinstall.js that invokes...

MAL-2026-15821 Malicious code in @stellarshift/abi-tools (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector bebef764845634817dcc9905a146c3ba898707dcc9937ebfe0060a4f10852d27 On npm install, the package's postinstall hook resolves a URL that is stored as an XOR-encoded integer array in endpoint-registry.json self-labeled...

Malicious code in @7nohe/openapi-react-query-codegen (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector ab8f8efdad9084d2a7c5ae5058ffc18886d68bfe1c676239fd7e0d41342fc700 The tarball ships a binding.gyp at the package root whose conditions field abuses GYP's Python expression evaluator to walk .class.base.subclasses to...

CVE-2026-56706

Adminer before 5.4.3 uses a CSRF token scheme that transmits both the XOR mask and the masked value in every token format rand XOR secret:rand, allowing anyone who observes a single CSRF token e.g., via network sniffing, log files, Referrer header, or XSS to recover the session secret with a sing...

DEBIAN-CVE-2026-56706

Adminer before 5.4.3 uses a CSRF token scheme that transmits both the XOR mask and the masked value in every token format rand XOR secret:rand, allowing anyone who observes a single CSRF token e.g., via network sniffing, log files, Referrer header, or XSS to recover the session secret with a sing...