内存取证

xuanxuan0/tietwagent

基于 ETW 的概念验证内存注入检测代理，用于攻防研究目的

ntdallas/bof_runpe

在Cobalt Strike Beacon中运行PE且无需创建控制台的BOF

enkomio/shed

.NET 运行时检查器

denandz/lpc_sniffer_tpm

用于ICEStick的低引脚数嗅探器 - 针对TPM芯片

alfarom256/cve-2022-3699

联想诊断驱动程序 EoP - 任意读写

arinerron/heaptrace

帮助可视化和调试pwn的堆操作

kangtastic/cve-2019-2215

通过 CVE-2019-2215 对 Pixel 2 和 Pixel 2 XL 进行临时root

ioactive/platbox

平台安全评估工具，用于转储和分析UEFI/SMM寄存器、PCI配置空间、物理内存、SPI闪存和S3启动脚本，内置针对Intel和AMD系统的SMI模糊测试器。

daffainfo/vol-rs

Volatility 3 移植到 Rust。输出相同，速度更快。

h4k6/cve-2023-0179-poc

针对（CVE-2023-0179）漏洞利用 该漏洞被分配为CVE-2023-0179，影响了从5.5到6.2-rc3的所有Linux版本，该漏洞在6.1.6上被测试。 漏洞的细节和文章可以在os-security上找到。

anvilsecure/ulexecve

直接在Linux内存中执行任意ELF二进制文件，无需接触磁盘，通过单个Python脚本实现隐蔽的红队和反取证操作。

offensive-panda/lsassreflectdumping

该工具利用进程分叉技术，通过 RtlCreateProcessReflection API 克隆 lsass.exe 进程。创建克隆后，它使用 MINIDUMP_CALLBACK_INFORMATION 回调来生成克隆进程的内存转储。

fortra/cve-2023-28252

CVE-2023-28252的技术分析和概念验证漏洞利用，该漏洞是Windows通用日志文件系统(CLFS)驱动程序中存在的权限提升漏洞，曾被Nokoyawa勒索软件攻击利用。

advanced-threat-research/dotdumper

一个针对 DotNet Framework 文件的自动解包器和记录器

lethal-forensics/collect-memorydump

自动化PowerShell脚本，用于符合取证规范的Windows内存获取，包括崩溃/原始转储、页面文件收集、分类取证工件以及加密磁盘检测。

attackercan/teamviewer-dumper

从内存中导出 TeamViewer ID 和密码。比其他工具效果好得多。