DuckMemoryScan工具作者为huoji；ASP.NET-Memshell-Scanner v1.3作者为HVVyzddmr6，喜欢的话给作者一个star。如侵权请联系删除。

1、DuckMemoryScan

一个简单寻找包括不限于iis劫持，无文件木马,shellcode免杀后门的工具，本程序需要64位编译才能回溯x64的程序堆栈，请勿执行32位编译。本工具不能代替杀毒软件。

功能列表

1. HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩

2. 内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)

3. 可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])

4. 无文件落地木马检测(检测所有已知内存加载木马)

5. 简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)

6. 检测异常模块,检测绝大部分如"iis劫持"的后门(2021年2月26日新增)

运行截图

项目地址：https://github.com/huoji120/DuckMemoryScan

2、ASP.NET-Memshell-Scanner v1.3

asp.net内存马检测工具，通过aspx脚本来实现asp.net内存马的检测以及查杀。

支持类型

• VirtualPath内存马

• ASP.NET MVC Filter内存马

• Router内存马

使用

上传aspx-memshell-scanner.aspx到web目录，浏览器访问即可。

项目地址：

https://github.com/yzddmr6/ASP.NET-Memshell-Scanner

文章排版：乌雲安全

如有侵权，请联系删除

原文始发于微信公众号（橘猫学安全）：分享个BuleTeam的内存马检测工具（附下载）