IDS/IPS规避

tcstool/fireaway

下一代防火墙审计与绕过工具

0xninjacyclone/asmldr

具备复杂规避能力的动态 Shellcode 加载器

ymsniper/kto

自动Wi-Fi去认证工具，持续扫描目标SSID上的客户端并踢出非白名单设备。功能包括白名单支持、网状/多AP处理、PMF检测，以及通过EAPOL提取的实验性WPA2 PMF绕过。

solomonsklash/sleepycrypt

一个在进程休眠时加密运行中进程映像的 shellcode 函数。

kudaes/unwinder

调用栈伪装工具，适用于 Rust

zero2504/edr-ghostlocker

基于AppLocker的EDR规避

xm0kht4r/av-edr-killer

通过利用易受攻击的驱动程序 (BYOVD) 终止 AV/EDR 进程

rsmudge/unhook-bof

移除 Beacon 进程中的 API 钩子。

samyk/quickjack

Quickjack 是一款点选式工具，用于直观地生成高级点击劫持和帧切片攻击。

0xmr007/lab4purplesec

Lab4PurpleSec 是一个模块化的紫队家庭实验室，结合了一个脆弱的Active Directory环境（GOAD）、基于Docker的Web DMZ、pfSense + Suricata以及Wazuh SIEM。它提供了一个真实、开源式的训练环境，用于Web漏洞利用、横向移动、Active…

saadahla/unhookingpatch

绕过 EDR 钩子，通过修补 NT API 存根，并在运行时解析 SSN 和系统调用指令。

cryptolok/morphaes

IDPS & SandBox & AntiVirus 隐形杀手。MorphAES 是世界上首个多态 shellcode 引擎，具有变形特性，并具备绕过沙箱的能力，这使得它对于 IDPS 而言无法被检测；它同时也是跨平台的，且不依赖任何库。

gmh5225/callmewin32kdriver

加载你的驱动程序，例如 win32k.sys

mr-un1k0d3r/windows-signedbinary

对已签名的 Windows 二进制文件进行变异，在改变文件哈希的同时保留有效的目录签名，从而绕过基于哈希的端点拦截并暴露 Authenticode 验证漏洞。

saadahla/ntdllreflection

通过基于 Windows ReleaseID 从远程服务器在内存中加载反射式 Ntdll 来绕过用户态 EDR 钩子，从而避免打开 ntdll 的句柄，并从导出表中触发导出的 API

loosehose/silentbutdeadly

SilentButDeadly 是一款网络通信阻断器，专门设计用于通过 Windows 过滤平台（WFP）阻止 EDR/AV 软件的云连接，从而使其失效。此版本仅专注于网络隔离，不涉及进程终止。