KernelFlirt
akatorich/kernelflirtWindows 内核级调试器，具有 OllyDbg/IDA 风格的 UI、软件和硬件断点、PDB 符号、反编译器，以及 17 个用于在虚拟机中进行逆向工程和恶意软件分析的插件。
static-analysisdynamic-analysis-sandboxingmemory-forensics+9
48
akatorich/kernelflirtWindows 内核级调试器，具有 OllyDbg/IDA 风格的 UI、软件和硬件断点、PDB 符号、反编译器，以及 17 个用于在虚拟机中进行逆向工程和恶意软件分析的插件。
winsiderss/systeminformer实时Windows系统监控工具，具备高级进程、网络和磁盘分析，堆栈跟踪调试，恶意软件检测以及服务管理功能。便携且免费。
x64dbg/x64dbg一个开源的Windows用户模式调试器。针对逆向工程和恶意软件分析进行了优化。
hasamba/dfir-companionDFIR 取证配套服务器 + 捕获扩展
pdb333/cortex一个Windows运行时分析工具包，结合了内存扫描、调试、自动化和AI友好的API。
werwolv/imhex🔍 一款为逆向工程师、程序员以及那些珍视凌晨3点工作时视网膜的人而设计的十六进制编辑器。
radareorg/radare2类 UNIX 逆向工程框架与命令行工具集
bert-janp/incident-response-powershell基于PowerShell的事件响应工具包，收集25+个取证工件（进程、网络连接、注册表、浏览器历史），并导出CSV用于SIEM集成。支持Defender for Endpoint的实时响应。
theflink/deepsleep一个针对x64的Gargoyle变种，仅使用ROP和PIC隐藏内存痕迹。
neo23x0/loki基于IOC和YARA的扫描器，通过文件名正则表达式、YARA签名、哈希匹配以及端点上的C2回连检测，来识别入侵指标。
paolomonti42/saltSALT - 用于Linux内核的SLUB ALlocator跟踪器
alessandroz/lazagne跨平台凭据恢复工具，可从浏览器、邮件客户端、数据库、系统机制和网络服务中提取存储的密码，用于安全审计和后渗透。
mandiant/capa基于规则的静态和动态分析工具，可识别PE、ELF、.NET和shellcode文件中的功能，并将其映射到MITRE ATT&CK技术，用于恶意软件分类。
monoxgas/srdi反射式DLL注入的Shellcode实现。将DLL转换为位置无关的Shellcode。
google/grr远程实时取证和事件响应框架，配备Python代理，用于从端点收集取证数据，包括内存、磁盘和网络工件。
darthton/blackboneWindows内存黑客库