- 博客(153)
- 资源 (6)
- 收藏
- 关注
原创 LKM 注射 三
下面这部分是要插入的代码:$ cat evil_lkm.c#include #include #include #include #include #include int gentil_lkmentry(struct lkm_table *, int, int);intinject_entry(struct lkm_table *lkmt, int cmd, int ver){ sw
2008-05-30 17:09:00 1158
原创 暴力句柄Dup结束法
by vxk1.枚举系统中所有的进程,组成ListA2.打开ListA中一个,暴力枚举句柄0到0xFFFF逐一Dup到自身,发现是XX的句柄就XXX掉,检查是否结束掉了XX,如果没有继续用ListA的下一个枚举~ 此法非常强大,有时候不能从csrss.exe里dup,但是可以从service.exe里dup~~还可以从explorer.exe里dup~~所以这种方式非常暴力
2008-05-30 08:30:00 1089
原创 首页巡警v1.2及以下版本 本地权限提升漏洞(任意内核地址写入)
by mj0011 首页巡警v1.2及以下所有版本的IRP_MJ_DEVICE_CONTROL处理例程存在 任意内核地址写入漏洞该处理例程有两处地方都存在任意地址写入漏洞,其中一处可利用做本地权限提升,可在任意权限用户下执行,并写入任意数据到任意内核地址。引发错误的原因是首页巡警的驱动
2008-05-30 08:23:00 1389
原创 cmd.exe 逆向分析
1. cmd.exe 是怎样加载其它进程的。2. 其它进程的命令行参数是怎样被传递的。分析完毕,有了四个小小的收获,与大家分享。菜鸟文章,一目了然,高手飘过。好,现在开始。1. ollydbg 加载cmd.exe 后面一个空的控制台窗口已经创建了。这说明windows 发现cmd.exe 是一个控制台程序。 就提前为它准备好了一个控制台窗口。2. f9 运行。 控制台窗口出现如下提示: M
2008-05-29 22:43:00 1897 1
原创 My Root Kit Note
by vxkMy Root Kit Note 0. What the Root kit Real Mean For? Root Kit is a kind of tools to hide itself or other files or process from normal users eyes or take privileges for whom could cont
2008-05-29 22:20:00 1356 1
原创 若干重要的Windows参考资料
要让Linux内核支持Windows应用程序和设备驱动,我们当然得要了解并理解Windows的各种机制和机理。本文的目的是为大家介绍和推荐一些关于Windows的参考资料。当然,对Linux的了解和理解更是必不可少,但是笔者以为既然是行走于我们这个地界的人,对Linux想必自有一定的基础,所以Linux方面的参考资料这里就不讲了。 说到Windows的技术资料,微软本身的各种SDK、DDK、
2008-05-29 21:52:00 2881
原创 FUTo: Bypassing Blacklight and IceSword
1.前言摘要自从介绍了FU,ROOTKIT世界就从执行系统HOOK,转移到了隐藏他们的存在。因为在攻击方面新的改变,那么新的防御就不得被建立。新的算法被ROOTKIT检测系统采用。例如BLACKLIGHT,就已经从原来检测ROOTKIT HOOK的存在,转变到试图找到是什么ROOTKIT正在隐藏。这篇文章将讨论被Blacklight和IceSword用来检隐藏进程的算法。他也将展示,在ROOTKI
2008-05-29 21:03:00 1163 1
原创 ring0调用Ring3的代码
在ring0调用Ring3的代码 作者:VXK/CVC.GB时间:2005-02-05 每次上driverdevelop总看到有人问怎么在Ring0下调用Ring3的代码——Ring3使用Ring0已经是地球人全知道的事情了,但是ring0下使用ring3的代码恐怕很少有人知道,Ratter和Benny这两个高人以及Elzc的作者Elzcor各自提出过一种方法。总结起来就是三种方法,Zomb
2008-05-29 21:00:00 1394
原创 Checking for NULL MDL Pointers(驱动安全设计)
by diyhack分享一点小细节---Checking for NULL MDL Pointers先说几句:作为成熟的安全产品,稳定性是非常重要的,就算有些技术非常厉害,如果稳定性、兼容性不好的,安全公司宁愿放弃是用该技术。某人喜欢针对某安全工具开刀,须知人家需要顾及到稳定性等诸多因素,还有就是安全工具在明处,你在暗处,如果你的程序暴露给安全工具,相信安全工具也会轻而易举Kill你的程序
2008-05-29 20:50:00 1023
原创 Ctrl2Cap v2.0
By Mark RussinovichPublished: November 1, 2006IntroductionCtrl2cap is a kernel-mode device driver that filters the systems keyboard class driver in order to convert caps-lock characters int
2008-05-29 20:49:00 1437
原创 LKM 注射 二
----[ 3.3 - 插入代码 不断发展的技术使得替换函数并且执行变成了可能,不过这还不是特别有趣。如果我们能在已有的模块中插入外来的代码就更好了。有一种方法可以 *轻松* 做到这点--使用ld 这个法宝。$ cat original.c#define MODULE#define __KERNEL__#include #include int init_module(void){ print
2008-05-29 16:04:00 1117
原创 LKM 注射 一
内容 1 - 介绍 2 - ELF 基础知识 2.1 - The .symtab section 2.2 - The .strtab section 3 - 玩转 loadable kernel modules 3.1 - 模块加载 3.2 - 修改 .strtab section
2008-05-29 16:00:00 1163
原创 linux后门系列之adore-ng
前言:kernel 2.6已经大步走入linux的世界,写后门的和用后门的也得跟上潮流。简写约定:fc:fedora corerh:red hatrhel4:red hat enterprise linux 4sk:suckitadore:adore-ngrk:rootkitlkm:loadable kernel modules什么是adore-ng?一个LKM rk,google ado
2008-05-29 15:58:00 1809
转载 一次入侵秀的详细分析
起因 本文聚焦于我的Linux Honeypot,她在网络中散发着阵阵蜜香,引诱蠕虫和各路客们的光临。为了让honeypot 更加attractive,都要采取一些处理方式。最近邮件列表中还有过这种讨论,有个家伙说他朋友在某黑客IRC 中公布了honeypot 的IP 地址,结果一帮罗马利亚黑客入侵后发现是一个蜜罐系统,所有动作都被完整记录,于是愤怒了,采用分布式拒绝服务方式疯狂报复,导致临
2008-05-29 15:57:00 1897
原创 Adore-ng使用简介
Team: D.S.T 数据安全中心这是个adore-ng的简单安装使用指南,如果是老鸟就不用看了,呵呵adore-ng是一款优秀的LKM rootkit,可以从http://stealth.openwall.net/rootkits/ 这里下载到它的最新版本。目前最新版的是0.54,能够在2.4 -2.6内核下使用,并且稳定性十分好。下面我们通过一步步的演示来揭示它强大的功能.1.以ro
2008-05-29 15:53:00 1197
原创 一次通过 Oracle8i 入侵系统之旅
来源:冷漠s BlogAuthor:Mickey最近看了些有关 Oracle 的安全资料,看后随手做了一个渗透测试,把过程记录下来方便日后查阅.。先用 SuperScan4.0 扫描下要测试的主机,速度很快,结果如图 1 所示:图 1端口 1521 是 Oracle 的 TNS Listener 默认监听的端口,通过扫描报告还可以看到 Oracle 的版本为 8i.现在还不 知道对方的操作系
2008-05-29 15:25:00 780
原创 一次通过 Oracle8i 入侵系统之旅
来源:冷漠s BlogAuthor:Mickey最近看了些有关 Oracle 的安全资料,看后随手做了一个渗透测试,把过程记录下来方便日后查阅.。先用 SuperScan4.0 扫描下要测试的主机,速度很快,结果如图 1 所示:图 1端口 1521 是 Oracle 的 TNS Listener 默认监听的端口,通过扫描报告还可以看到 Oracle 的版本为 8i.现在还不 知道对方的操作系
2008-05-29 15:21:00 794
原创 入侵隐士黑客 www.hack86.com
作者:aloner这次过程主要是要多想想。找到突破口就是了。 没什么技术性。目标:www.hack86.com 一般这些黑客站基本上是不可能直接从主站入手搞的。 http://www.seologs.com/ip-domains.html 旁注吧。查了一下,上面有70几个站点。 这些站里面有很多是企业站.可以or=or进后台的,ewebeditor可以拿的,注入也可以拿的。 拿到了5到6个
2008-05-29 15:08:00 7967
原创 艰难渗透源码销售站点
艰难渗透源码销售站点2008-05-27 12:12 作者:alonerhttp://www.aloner.cn题外话:最近想做几个垃圾站玩玩。可手上又没有啥好程序。郁闷。那些网上免费的程序又没多少好玩意。百度看看网上谁卖程序。方便的话,搞几个下来玩玩好了。一:小碰头:百度上找了一会, http://ww
2008-05-29 14:58:00 1043
原创 如何编译升级ubuntu内核
每一个发行版本都带有一些特殊的工具,用来从源代码中创建一个自定义的内核,这篇文章就是关于如何在ubuntu系统中编译内核的。内容包括,如何利用最新的,未被修改过的,从www.kernel.org网站上下载下来的源代码来构建自订制系统,这样,你就能独立于发行版所提供的内核。文章同样涉及了如果你需要一些现有内核不包含的特性,如何对内核源代码进行修补等问题。Table of Contents
2008-05-29 14:41:00 2919 1
原创 hiddenQuser + 源码
来源:精灵s Blog执行后替换系统目录下的Quser.exe与Query.exe ,登陆过终端服务器的朋友都知道这两个工具是做啥的吧~大家都知道,在Windows 2000和Windows XP及2003系统中有系统文件保护功能,一旦被保护的系统文件被修改了,就会弹出需要插入系统安装盘CD的对话框。所以本工具采用了黑客之门的方法,通过远程注入进程让系统文件保护暂时失效,然后执行替换的操作.
2008-05-28 23:23:00 857
原创 hiddenQuser + 源码
来源:精灵s Blog执行后替换系统目录下的Quser.exe与Query.exe ,登陆过终端服务器的朋友都知道这两个工具是做啥的吧~大家都知道,在Windows 2000和Windows XP及2003系统中有系统文件保护功能,一旦被保护的系统文件被修改了,就会弹出需要插入系统安装盘CD的对话框。所以本工具采用了黑客之门的方法,通过远程注入进程让系统文件保护暂时失效,然后执行替换的操作.
2008-05-28 23:20:00 756
原创 Defeating Microsoft Windows XP SP2 Heap protection
Alexander Anisimov, Positive Technologies.( anisimov[at]ptsecurity.com, http://www.ptsecurity.com ) Overview Memory protectionBuffer overrun attacks are among the most common mechanisms
2008-05-28 10:52:00 968
原创 adore rootkit分析
1.簡介通常LKM用來為系統提供額外的功能,而不用重新編譯內核,例如:加載設備驅動程序和其它的硬件驅動程序等。Linux、Solaris和BSD(Free、Net和open)等操作系統都使可加載內核模塊實現系統的某些功能。某些rootkit能夠利用這種機制,把自己作為內核的可加載模塊運行,在內核層欺騙應用程序,而不用修改應用程序本身,因此比傳統的rootkit具有更好的隱蔽性。現在LKM root
2008-05-28 10:39:00 980
原创 Fport Sourcecode
// FPort.cpp : Defines the entry point for the console application.//#include "stdafx.h"BOOL GetProcessModule (DWORD dwPID, DWORD dwModuleID, LPMODULEENTRY32 lpMe32, DWORD cbMe32) { BOOL
2008-05-28 10:35:00 984
原创 从CodeProject那里找到并且剥离出来的一个Trace Log类
这个类还不错的说,希望看到原文的请到CodeProject去看,原文地址是:http://www.codeproject.com/debug/logtrace.asp下面我把源代码放上来./**/////////////////////////////////////////////////////////////////////////// LogTrace.cpp -- Interfac
2008-05-28 09:48:00 1027
原创 撰写日志类
/**/ /* Log File Library(WIN98/NT/2000) Compile by: BC++ 5; C++ BUILDER; VC++; VC.NET; copyright(c) 2004.5 - 2005.3 llbird wushaojian@21cn.com http://blog.csdn.net/wujian53 */ /**/ /* Use://这个代码
2008-05-28 09:46:00 1532
原创 用C语言实现常见的三种中文内码转换
常见的中文内码一般有GB2312(简体中文),GBK和台湾那边用的BIG5(繁体中文),有时候看一些台湾编程论坛里的资料,都是乱码,如果在IE中浏览,则要求安装繁体字库的支持。网上也有很多中文内码的转换工具,但是在自己的程序中集成这些功能岂不是更好。Windows中提供了MultiByteToWideChar和WideCharToMultiByte两兄弟函数,足可以搞定这些功能了。 以下四个函
2008-05-28 09:44:00 1872
原创 连连看API版本的源代码
head.h #define M 14//M为连连看牌的高+2#define N 10//N为连连看牌的宽+2struct point{ int x; int y;};/*********************************************************/template class Matrix{protected: T matrix[M][N]
2008-05-28 09:43:00 776
原创 使用winpcap定制TCP包发送
by: 云舒2008-05-08http://www.ph4nt0m.org前些时候做DOS方面的测试,由于协议学得不够好,有些回应不记得,所以就首先想到用hping来定制一些包,看看远程主机的回应。结果下载 的hping死活都不发包,换了多个不同版本的winpcap都不行。一怒之下,决定自己写个简单的。首先想到的是perl来做,最后觉得一样要安装 winpcap还有很多别的模块,不如直接c来
2008-05-28 01:27:00 1476
原创 SSClone非ARP会话劫持原理分析
<!--google_ad_client = "pub-1460049757379518";/* 200x200, 创建于 08-5-2 */google_ad_slot = "0491039036";google_ad_width = 200;google_ad_height = 200;//-->作者:robur来源:CSNA网络分析论坛前两
2008-05-28 01:25:00 907 1
原创 一个扩展dir命令的vbs脚本
作者:lcx来源:vbs小铺‘CMD下的dir好像没法列出从某段时间到某段时间的文件,所以写了这个小东东set Arg=Wscript.ArgumentsIf Arg.Count=0 thenWscript.echo chr(9)&chr(9)&space(4)&”Xdir v0.1″Wscript.echo “”Wscript.echo chr(9)&”cscript dir.vbs p
2008-05-28 01:23:00 1247
原创 浅入浅出Liunx Shellcode
*————————————-Author:旋木木[xuanmumu@gmail.com]Date:2008/05/12Website:www.bugshower.org————————————–*/一:什么是shellcode话说某天某爱国黑客编译了一个Nday溢出利用程序来攻击CNN,输入IP并且enter之后发现目标服务器没有反应,于是拿出sniffer抓包分析…“Oh ,my dog!居
2008-05-28 01:19:00 798
原创 Nmap Techniques
by d3hydr8 > www.darkc0de.comdate: 01/20/08Use nmap as a host discovery tool.linuxbox:/home/d3hydr8 # nmap -sL 128.230.18.30-35 Starting Nmap 4.50 ( http://insecure.org ) at 2008-01-17 22:41 E
2008-05-28 01:16:00 899
原创 C++ win32 downloader
#include "stdafx.h”#include “stdio.h”#include “string.h”#include #include #include “tlhelp32.h”#pragma comment(lib,”wininet.lib“)/***********************************************/type
2008-05-28 01:08:00 1142
原创 迅雷协议分析–多链接资源获取
标 题: 【原创】迅雷协议分析–多链接资源获取作 者: xee时 间: 2008-02-23,22:13链 接: http://bbs.pediy.com/showthread.php?t=60110【文章标题】: 迅雷协议分析【文章作者】: vessial【邮件地址】: vessial@hotmail.com【作者主页】: http://blog.csdn.net/xee【生产日期】: 20
2008-05-28 00:49:00 10818
原创 CSRF: 不要低估了我的危害和攻击能力
CSRF这种攻击方式虽然提出来很久(在2006年的时候就有了)了,但是这个沉睡的攻击巨人直到前不久才逐渐走入我们的视线,到底CSRF是啥,危害到底有多大?常见的利用方式是如何的,今天作为“安全相关 | Security”分类的第一篇文章,我按照自己的理解告诉你,不要低估了CSRF危害性和攻击能力。一、什么是CSRF先看看CSRF的原文说明,如下:Cross Site Reference
2008-05-28 00:47:00 970
原创 对MS word javascript execution的一些测试
<!--google_ad_client = "pub-1460049757379518";/* 200x200, 创建于 08-5-2 */google_ad_slot = "0491039036";google_ad_width = 200;google_ad_height = 200;//-->作者:余弦来源:0×37 SecurityMi
2008-05-28 00:46:00 614
原创 IE0DAY网马
这个漏洞参考http://www.milw0rm.com/exploits/5619Author: Greysign2008-5-24http://www.scanw.com/blog哈哈。标题吸引吗。修改代码请注意不能使用双引号”,注意不能跨域,还有一些其他零碎的问题自己调试吧。这个漏洞执行后可以远程下载任意文件并执行。第一次写网马,只好拿鸡PP搓成鸡胸,这样垃圾的漏洞才能放出来~哈哈。
2008-05-28 00:40:00 958
原创 利用IAT hook实现windows通用密码后门
windows有通用密码吗?去问比尔大叔吧。先不管是不是真的有,我们可以自己实现一个这样的后门。先简单介绍一下windows登陆过程中的一些过程。winlogon进程用gina.dll获取用户名和密码,通过LPC传给lsass进程。然后lsass进程调用默认认证包msv1_0.dll来验证密码的对错。而msv1_0则从SAM中获得用户的信息,包括密码的哈希。要实现这样一个后门,首先要找到登
2008-05-28 00:14:00 915
UDP协议可靠传输文件
2011-09-14
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人