FISH 的专栏

原创 搜索PEB的相关结构获取Kernel32.DLL的基址

原创 病毒编程技术-5

网络共享资源也是按树状组织的,非叶节点称为容器（container），对容器需要进一步搜索直到到达叶子节点为止，叶子节点才是共享资源的根路径。共享资源一般分成两种：共享打印设备和共享文件夹。对于网络共享文件的搜索，采用WNetOpenEnum和WNetEnumResource（由mpr.dll导出）进行递归枚举。其函数原型及参数含义请参阅MSDN，使用如下代码enumshare.cpp将显示所有的

原创 病毒编程技术-4

解析PE文件的导出函数表 　　PE文件的函数导出机制是进行模块间动态调用的重要机制，对于正常的程序，相关操作是由系统加载器在程序加载前自动完成的，对用户程序是透明的。但要想在病毒代码中实现函数地址的动态解析以取代加载器，那就有必要了解函数导出表的结构了。在图1中可以看到在PE头结构IMAGE_OPTIONAL_HEADER32结构中包含一个DataDirectory数组结构，该结构包含16个成

转载 病毒编程技术-3

* API函数地址的获取        在能够正确重定位之后，病毒就可以运行自己代码了。但是这还远远不够，要搜索文件、读写文件、进行进程枚举等操作总不能在有Win32 API的情况下自己用汇编完全重新实现一套吧，那样的编码量过大而且兼容性很差。Win9X/NT/2000/XP/2003系统都实现了同一套在各个不同的版本上都高度兼容的Win32 API，因此调用系统提供的Win32 API实现各

转载 病毒编程技术-2

* Windows平台和PE文件格式          Windows平台是当今最为流行的桌面系统，在服务器市场上，也占有相当的份额。其可执行文件（普通的用户程序、共享库以及NT系统的驱动文件）采用的是PE（Portable Executebale）文件格式。病毒要完成各种操作，在Windows系统上一般都是通过调用系统提供的API进行的，以保证在各种Windows版本上都能运行，因此读者应对

转载 病毒编程技术-1

  生活在网络时代，无论是作为一名程序员抑或是作为一名普通的电脑使用者，对病毒这个词都已经不再陌生。网络不仅仅是传播信息的快速通道，从另外一个角度来看，也是病毒得以传播和滋生的温床，有资料显示，未安装补丁的Windows操作系统连接至internet平均10-15分钟就会被蠕虫或病毒感染。各种类型的病毒，在人们通过网络查阅信息、交换文件、收听视频时正在悄悄地传播。这些病毒或蠕虫不仅在传播过程中消耗

原创 内存映射文件

  内存映射文件 内存映射文件的概念：内存映射文件提供了一组独立的函数，使应用程序能够通过内存指针像访问内存一样访问磁盘上的文件。通过内存映射文件函数可以将磁盘上的文件全部或者部分映射到进程的虚拟地址空间的某个位置。一旦完成映射，对磁盘文件的访问就可以像访问内存文件一样便捷。 使用内存映射文件的好处：a系统使用内存映射文件，以便加载和执行.exe和DLL文件。这可以大大节省

原创 经典的重定位代码

 在病毒里面经常会使用到这种技术,因为病毒的启动往往不是通过 windows 来加载,那么各个地址的重定位也就需要手工来完成,如果代码本身就具备重定位功能的话,那么手工加载病毒就会容易的多,可以轻易把病毒塞入一块任意的由 VirtualAlloc 分配的内存. 经典的代码是这样的:// call这个动作发生的时候,会把返回地址退入堆栈的顶部,此时返回地址就是delta所在位置的绝对地址

原创 经典的重定位代码

 在病毒里面经常会使用到这种技术,因为病毒的启动往往不是通过 windows 来加载,那么各个地址的重定位也就需要手工来完成,如果代码本身就具备重定位功能的话,那么手工加载病毒就会容易的多,可以轻易把病毒塞入一块任意的由 VirtualAlloc 分配的内存. 经典的代码是这样的:// call这个动作发生的时候,会把返回地址退入堆栈的顶部,此时返回地址就是delta所在位置的绝对地址

原创 《脱壳艺术》学习笔记2--SEH检测调试器

 《脱壳艺术》学习笔记 2时间：2008年2月22日星期五，10时5分35秒 SEH 检测调试器 新建 vc++ Console 项目, 编写下面代码测试:int main(){ bool bIsInDebugger = true ;  try{   // 非法内存访问,会引发异常     int *p = NULL;   *p = 0;

原创 《脱壳艺术》学习笔记--IsDebuggerPresent 检测调试器

  《脱壳艺术》学习笔记 1  时间：2008年2月20日星期三，9时47分26秒 IsDebuggerPresent 检测调试器 新建 vc++ console项目，采用Windbg 调试：(1)  启动 windbg 用户级调试(2)  设置调试符号路径(3)  bp main ，main 函数处下断(4)  F5 ，断点命中(6) 在 wi

翻译 脱壳的艺术--8 参考

脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用这些保

翻译 脱壳的艺术--7. 工具

  脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁

翻译 脱壳的艺术--6. 高级及其它技术

 脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用

翻译 脱壳的艺术--5 调试器攻击技术

 脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用

转载 脱壳的艺术--4反分析技术

 脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用

翻译 脱壳的艺术--3 断点和补丁检测技术

 脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用

翻译 脱壳的艺术--2 调试器检测技术

  脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁

翻译 脱壳的艺术--1简介

  脱壳的艺术Mark Vincent Yason概述：脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁

原创 不能删除的文件夹

创建不能删除的文件夹:打开命令行, 在 D 盘创建不能删除的文件夹:创建：执行命令  "md 不能删除的文件夹.../"  此时在 D 盘会创建文件夹 "不能删除的文件夹.."  对该文件夹的双击和删除操作都将失败。删除：执行命令 "rd 不能删除的文件夹.../"  可以成功删除该文件夹。访问： "开始"--->"运行"  输入信息 "D:/不能删除的文件夹.../"

原创 快速修改 Delphi 资源

  快速修改 Delphi 资源作者: 刘亮亮 最近需要在没有源代码的情况下对delphi 的软件界面最较大调整，翻看了一些资料，没有找到合适方法，经过了自己一天的试验摸索终于找到了一个快捷的方法.下面总结下来.需要的工具: eXeScope, Delphi 开发工具 我们以一个共享软件 TCP端口映射工具 来试验说明. TCP 端口映射工具图标如下:

原创 利用 CTreeCtrl 创建 Tab 页效果

 首先我们要新建 1 个项目,  在主窗口上添加 Tree 控件。 在项目中, 添加 2 个新窗口 ID 分别为: IDD_DIALOG1, IDD_DIALOG2   OnInitDialog 消息响应函数中 添加下面的代码:  m_treePages[0]=new Cdialog1; m_treePages[1]=new Cdialog2; //----------------------

原创 脱 PECompact 壳

脱 PECompact 2.x -> Jeremy Collake 壳用peid查，显示是PECompact 2.x -> Jeremy Collake的壳用OD载入后停在00401000     B8 D4A14300          mov eax,CoralQQ.0043A1D4      F8单步运行00401005     50                         

原创 脱 PECompact 2.x -> Jeremy Collake 壳

用peid查，显示是PECompact 2.x -> Jeremy Collake的壳用OD载入后停在00401000     B8 D4A14300          mov eax,CoralQQ.0043A1D4      F8单步运行00401005     50                               push eax00401006     64:FF35 00

原创 CListCTrl 使用技巧--补充

CListCTrl 使用技巧--补充listctrl内容进行大数据量更新时，避免闪烁      m_list.SetRedraw(FALSE);      //更新内容      m_list.SetRedraw(TRUE);      m_list.Invalidate();      m_list.UpdateWindow();  或者参考 http://msdn.microsoft.

转载 OllyDbg应用方法大全

OllyDbg应用方法大全！所有文章均为散落在DFCG论坛各处或其他网络文集的经典。雪很冷搜集整理于学习笔记或与朋友讨论之中Ollydbg 中断方法  Quote: Originally posted by dong at 2004-6-1 10:29 PM:我问个问题在od中怎么下断点呢??现在有的程序一点注册就没反映了这样的怎么下断点呢??能介绍下什么情况下什么断点吗?  在转存中下硬件访问－

转载 VB程序的破解

VB程序的破解VB程序使很多朋友感到头痛，主要是VB程序反编译时产生大量的垃圾代码，而且也找不到有用的信息，在动态调试过程中，垃圾代码太多，往往迷失于冗余的代码中，找不到方向。记住VB常用的一些函数：MultiByteToWideChar         将ANSI字符串转换成UNICODE字符WideCHatToMultiByte　　将UNICODE字符转换成ANSI字符rtcT8Val

原创 脱壳&破解技巧

                                                          暴力破解的一般流程1、有壳者要先脱壳2、试注册看看有何提示，让我们抓抓小尾巴3、若有提示，用OD动态调试器或者是W32静态调试器查找注册提示4、来到错误提示处分析代码找关键CALL、关键跳！5、修改代码6、复制保存！如果没有提示，我们可以使用很多断点来完成这些操作现今软件的保护方

原创 ListCtrl 技巧集

 1. ListCtrl 风格      LVS_ICON: 为每个item显示大图标      LVS_SMALLICON: 为每个item显示小图标      LVS_LIST: 显示一列带有小图标的item      LVS_REPORT: 显示item详细资料      直观的理解：windows资源管理器，“查看”标签下的“大图标，小图标，列表，详细资料”----------

原创 VC宏定义 ## 说明

在分析代码文件时经常见到下面的宏定义:例1:#define __CRT_WIDE(_String)  L##_String 举例说明: wprintf( __CRT_WIDE("Hello world") ); 预处理后是  wprintf( L"Hello World" );如果把 ## 去掉 #define __CRT_WIDE(_String)  L_String  __CR