工具

ripits-sec/couchpotato

Windows 权限提升工具，可修补 ETW 和 AMSI，并使用间接系统调用滥用 SeImpersonatePrivilege，将服务账户或管理员提升至 NT SYSTEM。

bittersecurity/decepticon

自主LLM红队代理，在隔离的Kali沙箱内规划并执行完整攻击链——侦察、利用、权限提升、横向移动和C2。

sk4r4b/ntdll-reconstruction

一种混合了NTDLL解除挂钩和地狱之门变体的技术

karmanya03/overthrone

全 Rust 实现的 Active Directory 利用框架：LDAP/SMB/Kerberos 枚举、攻击图路径查找、Kerberoasting、NTLM 中继、票据伪造、DCSync 以及报告生成，全部集成于一个静态二进制文件中。

google/kernel-research

Linux 内核漏洞利用工具包，提供漏洞利用构建库、ROP 链和栈迁移生成器、内核镜像运行器，以及用于开发内核漏洞利用的目标数据库。

xpn/randomtsscripts

红队交战脚本集合，包括通过 TGS 进行 Pre2K 默认凭据检查、LAPSv2 密码解密以及 IIS 应用程序池凭据解密。

linnemanlabs/glimmer

用于安全研究的对手模拟与C2框架

justasmasiulis/lazy_importer

用于以隐藏且不利于逆向工程的方式从 DLL 导入函数的库

rapid7/metasploit-payloads

Metasploit Framework 不同载荷的统一仓库

vulncheck-oss/external-c2-experiments

用于 go-exploit 的 Go 外部 C2 模块，可捕获反向 SSH shell，提供服务器监听器和载荷客户端，以便将自定义 C2 配置文件集成到漏洞利用中。

stillbigjosh/adaptix-serverless-c2

用于 AdaptixC2 v1.2 的无服务器 C2 传输插件，使用 AWS Lambda + DynamoDB 作为中继基础设施。

hfiref0x/kdu

Windows 内核驱动工具，利用存在漏洞的已签名驱动（BYOVD）绕过 DSE、加载未签名驱动、劫持受保护进程并转储进程内存。

gmh5225/kli-ex

面向 Windows 驱动程序的扩展内核延迟导入器，可在运行时解析 API，并使用加密、缓存的导入名称来隐藏内核函数的使用，从而规避静态分析。

vqkro/ultrasploiter

A single binary that folds a port scanner, the full Exploit-DB index (47k entries) and runnable exploit modules into one tool. Written in Rust, runs…

g13net/lockjaw

模块化 Windows C2 框架，包含 Rust teamserver、Zig 植入体、间接系统调用、AMSI 绕过、反射式/PoolParty 注入、内存中 BOF 执行以及 HTTP/DNS 传输。

kyle41111/ai-file

一个用于 Mythic C2 框架的监听器配置文件，利用 AI 供应商的文件 API

adityatelange/evil-winrm-py

使用 WinRM 协议在远程 Windows 机器上交互式执行命令（只是更快）