工具

not-matthias/amd_hypervisor

Rust AMD SVM 虚拟机监控器框架，具有可自定义的 vmexit 处理程序（MSR、CPUID、RDTSC）以及用于内核级监控和研究的 NPT 挂钩。

67-6f-64/antioreans-codedevirtualizer

IDA 6.8 插件，用于对 Themida 的 FISH 虚拟机（2.2.5.0-2.2.7.0）进行去虚拟化，从受保护的二进制文件中恢复原生代码，以供逆向工程研究使用。

justasmasiulis/lazy_importer

用于以隐藏且不利于逆向工程的方式从 DLL 导入函数的库

thesecretclub/sandboxbootkit

Windows Sandbox 的 Bootkit，用于禁用 DSE/PatchGuard。

opposum0112/cusimanse

面向代理操作的安全实验、运行于一次性计算资源上的可组合研究合约与 YAML 配方框架

lolcaken/javascript-deobfuscator

用于 javascript-obfuscator 5.x 输出的反混淆器（字符串数组、控制流平坦化、自防御、RC4/base64）

opposum0112/decretum

面向安全研究人员的合约 LinkML 编译器

hfiref0x/kdu

Windows 内核驱动工具，利用存在漏洞的已签名驱动（BYOVD）绕过 DSE、加载未签名驱动、劫持受保护进程并转储进程内存。

ubfx/bindiffhelper

Ghidra 扩展，集成 BinDiff 用于函数匹配

gmh5225/kernelmode-driver

适用于 x64 Windows 系统的内核驱动程序，允许你读写虚拟/物理内存并挂钩 Win32k

gmh5225/kli-ex

面向 Windows 驱动程序的扩展内核延迟导入器，可在运行时解析 API，并使用加密、缓存的导入名称来隐藏内核函数的使用，从而规避静态分析。

gmh5225/kprocterminator

Windows 内核驱动程序，用于终止系统中的特定进程

frida/frida-gum

用 C 编写的跨平台插桩与内省库

volexity/donut-decryptor

从 Donut 混淆器样本中提取并解密内部载荷，通过检测加载器 shellcode 特征、解析 DONUT_INSTANCE 结构并转储 DONUT_MODULE 数据。

star-sg/random-scripts

用于解析恶意 LNK 样本、从 MHTML 中提取 OLE 对象以及对 favicon 进行哈希以追踪钓鱼站点的 DFIR 和 OSINT Python 脚本集合。

trustedsec/lazzzy_dump

通过签名匹配和 RIP 相对地址解析，从 laZzzy 包装的 PE 二进制文件中静态提取并解密 AES-CBC/XOR 混淆的 shellcode，无需执行或模拟。

ejfkdev/jscd

将 bytenode .jsc（V8 代码缓存）逆向还原为 JavaScript —— 静态、纯 Rust，无需修补 V8/Node。Node 8→26 / V8 5.8–14.6；已测试 25k 个 .jsc，0 失败。