- 博客(72)
- 资源 (16)
- 收藏
- 关注
RSS订阅原创 Windows windbg kernel debug 双机内核调试 - USB3.0 调试 USB调试 调试线
0x1 使用USB3.0 调试线，进行windows双机内核调试从win8开始，windows就引入了USB 3.0的内核调试 ，速度可以说爽的一批。不过能否支持USB3.0的调试，还需要看你的机器配置。怎么知道知否支持USB3.0调试？Host端： 1 系统，WIN8以及以上 2Target机器带有xHCI 控制器，即USB3.0的接口Target端： 1 系统，WIN8 以及以上 2Target机器带有xHCI 控制器，...
2021-01-02 17:45:20
1177
原创 Windows windbg kernel debug 双机内核调试 - COM口调试 串口调试 调试线
0x1 使用COM 串口调试线，进行windows双机内核调试在很多情况下我们不得不使用COM串口线进行内核调试，这个也是一种比较古老的方式。使用串口线调试要求Target机器必须要有原生的COM口，其他的PCI/PCIE/USB转串口均不行，然而对于Host端使用PCI/PCIE/USB转串口则是没有问题的。本人已经做过严格的测试与验证。0x2 设置目标计算机使用bcdedit更改引导信息之前，您可能需要暂时挂起Windows PC安全功能，例如关闭BitLocker和se...
2021-01-02 12:34:38
984
转载 TUN/TAP设备浅析(一) -- 原理浅析
TUN/TAP设备浅析TUN设备TUN 设备是一种虚拟网络设备，通过此设备，程序可以方便地模拟网络行为。TUN 模拟的是一个三层设备,也就是说,通过它可以处理来自网络层的数据，更通俗一点的说，通过它，我们可以处理 IP 数据包。先来看看物理设备是如何工作的：上图中的 eth0 表示我们主机已有的真实的网卡接口 (interface)。网卡接口 eth0 所代表的真实网卡通过网线(w...
2018-12-17 10:35:37
1054
转载 KiFastCallEntry() 机制分析
转 KiFastCallEntry() 机制分析 2013年12月19日 12:54:43 whatday 阅读数：6454 1....
2018-12-09 07:19:45
694
转载 PE文件学习笔记（五）：导入表、IAT、绑定导入表解析
作者：Apollon_krj 来源：CSDN 原文：https://blog.csdn.net/apollon_krj/article/details/77417063 版权声明：本文为博主原创文章，转载请附上博文链接！
2018-12-03 16:26:28
286
转载 .bat批处理（三）：变量声明、设置、拼接、截取
前言在使用批处理脚本的时候我们常常会有这类需求，比如需要设置一个变量来存储数据，简化程序书写；拼接现有的内容得到新的变量；截取变量的一部分来满足我们的要求，这些需求都是我们经常需要的，接下来我们设计一个情景来实现这些需求。内容情景设计假设我们的批处理脚本要实现这样一个功能：从控制台接收参数，前两个参数为信息发送者，第三个参数为信息接收者，最后一个参数为信息内容，请输出所有发送者、接收者...
2018-11-23 10:26:05
2658
转载 UAC文件和注册表操作虚拟化
从vista开始microsoft推出了UAC机制，就是User Account Control。开启UAC机制之后，windows默认通过explorer启动的程序都是运行在标准用户权限下面，而不是管理员用户权限。标准用户权限下会限制用户的诸多操作，最需要我们程序员关注的就是对于文件和注册表的访问，但是在windows xp下，所有的用户都是管理，很多程序在设计之初，就只考虑了程序是运行在管理员...
2018-11-20 12:18:26
2507
原创 堆破坏
堆破坏所谓的堆破坏，是说没控制好自己的指针，把不属于你分配的那块内存给写覆盖了。这块内存可能是你程序的数据，也可能是堆的管理结构。那么这个会导致怎样的后果呢？可能的情况我们来yy下把程序里的计算结果覆盖了，这也许会让你重复看了N次代码，校验了N次计算逻辑也搞不明白为何计算结果还是有问题 堆管理结构被破坏了，new/delete，或者malloc/free操作失败 等等等等~堆破坏较为...
2018-11-14 13:56:58
1960
原创 进程和线程的优先级
进程（线程）的优先级越高，那么就可以分占越多的CPU时间片，每个进程都有相应的优先级，优先级决定它何时运行和占用CPU的时间。最终的优先级共分 32 级，是从 0 到 31 的数值，称为基本优先级别。 线程32个优先级，16~31是实时类别 1~15是动态类别 0是系统类别KPROCESS.BasePriority是线程创建之后的KTHREAD.BasePriority值（线程的基本、...
2018-11-12 15:03:27
1882
转载 EnumProcessModulesEx
EnumProcessModules API原型BOOLWINAPIEnumProcessModulesEx( _In_ HANDLE hProcess, _Out_writes_bytes_(cb) HMODULE *lphModule, _In_ DWORD cb, _Out_ LPDWORD lpcbNeeded, _In_ DWORD...
2018-10-12 13:07:16
2683
1
原创 explorer的搜索框中右键-粘贴 解析
UINT SendInput( UINT nInputs, LPINPUT pInputs, int cbSize ); 函数说明：该函数合成键盘事件和鼠标事件，用来模拟鼠标或者键盘操作。事件将被插入在鼠标或者键盘处理队列里面。 参数说明：nInputs 指定ninput 数组中元素的个数。就是插入事件的个数。pInputs 指向一个类型为INPUT的 数组...
2018-09-29 16:55:24
401
转载 Windows系统架构总结（转）
系统架构关键组件环境子系统和子系统DLL 环境子系统向应用程序提供环境和应用程序编程接口(Appplication Programming Interface, API）。Windows 2000/XP支持三种环境子系统：Win32、POSIX和OS/2，其中最重要的环境子系统是Win32子系统，其他子系统都要通过Win32子系统接收用户的输入和显示输出。环境子系统的作用是将基本...
2018-09-29 08:53:37
1443
转载 网络防火墙开发二三事 转
花了近一个月的时间研究 Windows 平台下的网络防火墙相关技术，并实现了一个简单的防火墙。在独自摸索的过程中，由于以往的开发经历从未涉及此领域，所以碰到了不少困难，也走了些弯路。现此项目暂告一段，遂将相关心得整理成文。文章以归纳总结为主，没有创新性技术，高手免看。◎ 防火墙的数据包拦截方式小结网络防火墙都是基于数据包的拦截技术之上的。在 Windows 下，数据包的拦截方式有很多种...
2018-09-28 11:27:13
1468
转载 Windows网络系统架构 转
在介绍Windows网络体系架构之前，我首先介绍一下Windows中的两个重要编程规范——TDI，NDIS.，然后再介绍网络体系的架构。TDI，Transport Driver Interface，传输驱动程序接口。/Windows/System32/Drivers/Tdi.sys。在实现网络API驱动程序时，由于牵涉到很多不同协议，会用到不同协议驱动提供的接口，使得开发的工作复杂化。所以Micr...
2018-09-28 11:24:13
1745
转载 计算机网络体系结构详解（图文） 转
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/songkai320/article/details/51754433计算机网络体系结构计算机网络的各层及其协议的集合，称为网络的体系结构。 网络协议：为进行网络中的数据交换而建立的规则、标准或约定称为网络协议。网络协议主要由以下三要素组成：1、语法，即数据与控制信息的结构...
2018-09-28 11:22:44
2119
转载 NDIS WIN7 WINXP hook网络发包收包(转)
多年前做过xp-win10的 ndishook。由于时间太久，都忘得差不多了。由于公司代码有bug，特意网上找了一下介绍，不过没有找到图。凑合看下 转： 网上有很多讨论关于NDIS HOOK的文章,但大多只讲了WIN7之前的HOOK NDIS_OPEN_BLOCK下的例程,至于WIN7下怎么HOOK以及如何做MINIPORT-HOOK,网络上则鲜有提及.根据前阵子的相关分析,我把...
2018-09-28 10:45:04
423
转载 《重要》从用户模式切换到内核模式的完整过程分析(转)
Windows定义了两种访问模式：用户模式和内核模式。应用程序代码运行在用户模式下，操作系统代码运行在内核模式下。内核模式对应处理器的最高权限级别。在内核模式下执行的代码可以访问所有资源并可以执行所有特权指令。用户模式具有较低的优先级，用户模式只能访问用户空间，且不能执行特权指令。如果用户代码不慎访问了系统空间的数据或执行了特权指令将会导致保护性异常的发生。但是用户代码可以通过调用系统服务...
2018-09-26 13:19:00
2177
转载 WIN7 X64 SSDT函数获得(转 ，包括win10)
曾经在网上看到一片文章，在早期64位系统，内核函数开头地址的低四位一般是0，形如:xxxxxxxx`xxxxxxx0，这一特征在SSDT表中有很强大的引用，SSDT表在64位系统于32位系统有较大的差别。以下是在64位系统下的KeServiceDescriptorTable：kd> dp KeServiceDescriptorTablefffff800`0117bb80 ffff...
2018-09-26 11:05:45
2054
原创 LPC服务器拒绝客户端的表白
开场白：项目中遇见了一个奇怪的问题。在64位系统下，LPC的服务端是wow32位进程，在调用了ZwAcceptConnectPort拒绝客户端的连接后，ZwAcceptConnectPort返回 //// MessageId: STATUS_INVALID_MESSAGE//// MessageText://// The ALPC message supplied is ...
2018-09-25 23:43:07
647
1
原创 非阻塞 socket 在send之后返回 WSAEWOULDBLOCK分析
首先，Winsock 异常 10035 WSAEWOULDBLOCK (WSAGetLastError) 的意识是 Output Buffer 已经满了，无法再写入数据。确切的说它其实不算是个错误，出现这种异常的绝大部分时候其实都不存在 Output Buffer 已满情况，而是处于一种“忙”的状态，而这种“忙”的状态还很大程度上是由于接收方造成的。意思就是你要发送的对象，对方收的没你发的快或者对...
2018-08-30 09:14:52
953
转载 Web应用漏洞评估工具Paros
Web应用漏洞评估工具ParosParos是Kali Linux集成的一款Web应用漏洞评估工具。该工具提供HTTP会话分析、网络爬虫、漏洞扫描三大功能。首先借助HTTP代理模式，该工具可以实时嗅探HTTP会话，提取网站各项信息。对于重要数据，用户可以启用拦截功能，对会话数据进行修改。根据嗅探的网址，安全人员借助爬虫功能再获取相关的网站目录结构，从中找出有价值的网页。针对这些网页，再执行漏洞扫描，...
2018-06-21 23:04:17
223
转载 Kali OWASP_ZAP
0x00 OWASP_ZAPZend attack proxy 是一款 web application 集成渗透测试和漏洞工具，同样是免费开源跨平台的。OWASP_ZPA 支持截断代理，主动、被动扫描，Fuzzy，暴力破解并且提供 API。OWASP_ZPA 是Kali Web Top 10 之一。0x01 截断代理首次启动 OWASP_ZAP 会提示是否将 session 进行保存，以及如何保存...
2018-06-21 23:02:15
2993
转载 Kali Httrack
Httrack是用来复制网站的，或者说是用来离线网站的，它本质上是一个爬虫软件。 开始 终端输入httrack,启动 填写项目名称、路径（这里我用了默认的）、目标站点 接下来是执行的选项，看不懂英语的话一直回车就行了，懂的话根据自己的实际情况选择 在浏览器输入路径，即可得到 点击时还会与原网站发生交互 另外有windows版本网站整站下载器(HTTrack Website Copier) ...
2018-06-21 22:40:42
342
转载 系统命令注入漏洞自动化测试工具 – Commix
Commix是一个适用于web开发者、渗透测试人员及安全研究者的自动化测试工具，可以帮助他们更高效的发现web应用中的命令注入攻击相关漏洞。Commix由Python编写。环境要求Python 2.6.x或2.7.x安装下载git clone https://github.com/stasinopoulos/commix.git commix使用基本使用Usage: python commix.p...
2018-06-21 22:21:40
4790
转载 Metasploit 学习笔记
在Kali中使用Metasploit，需要先开启PostgreSQL数据库服务和Metasploit服务 然后就可以完整的利用 msf 数据库查询 exploit 和记录service postgresql startservice metasploit start12如果不想每次开机都这样，还可以配置随系统启动update-rc.d postgresql enableupdate-rc.d ...
2018-06-21 21:27:39
514
原创 关于Burp Suite Intruder 的四种攻击方式
以下面这一段参数为例,被§§包围的部分为需要破解的部分:user=§ss§&password=§zxcv§&imageField.x=17&imageField.y=1 (1) (2)---------------------------------------------------------- payload1 = [admin,...
2018-05-12 13:46:20
4114
转载 Remote Debugging connecting to a Remote Stub using the Microsoft Debugging Tools for Windows
The Microsoft Debugging Tools for Windows provide a couple ways to create a remote debugging connection including "Connecting to a remote session" and "Connecting to a remote stub". Connecting to a re
2017-12-12 10:19:58
480
原创 X64 SEH的展开
C++ 代码：#include "stdafx.h"#include ULONG WINAPI FilterFunc(DWORD dwExceptionCode){ return (dwExceptionCode == STATUS_INTEGER_DIVIDE_BY_ZERO) ? EXCEPTION_EXECUTE_HANDLER : EXCEPTION_CONTINUE_SE
2017-12-08 01:08:05
1823
原创 LibCurl环境搭建
libcurl发送https请求，依赖于openssl和zlib1 编译openssl 1) openssl的编译，依赖于ActivePerl，所以我们需要安装这个工具 这里使用ActivePerl_5.16.2.3010812913.msi，他默认会把自己注册到环境变量中，所以不需要 添加环境变量，也不需要重启机器了。比较人性化了 2)
2017-11-17 10:13:33
468
转载 摘录自《WinDbg用法详解》
http://cuijingbing.blog.163.com/blog/static/46825825201187105423613/选取了自己认为比较新和重要的知识作为摘录内容 1、工作空间是以累积的形式打开的。2、删除工作空间更快的方法是使用“Regedit”，在键目录“\\Registry\\CurrentUser\\Sof
2017-10-26 15:48:13
2321
1
转载 Windbg常用命令
.extpath 扩展模块搜索路径.ecxr;kb！analyze -v~ - 列举出当前进程上下文中的所有线程~* - 列举出当前进程上下文中的所有线程的详细信息lm - 列举出所有加载的模块!sym noice/quiet - 代码提示开关.srcpath -设置源码路径k - 显示当前堆栈~*kb -显示出所有线程占用的堆栈dv - 显示出本地变量(使
2017-10-26 10:56:23
2811
原创 windbg获取结构体大小
10: kd> dt nt!_PEB -vstruct _PEB, 109 elements, 0x7b0 bytes +0x000 InheritedAddressSpace : UChar +0x001 ReadImageFileExecOptions : UChar +0x002 BeingDebugged : UChar +0x003 BitField
2017-10-26 10:45:38
891
转载 retn 指令理解
在破解的时候，我想在一个call的头部直接返回，如何判断到底是使用retn、retn 4还是retn 0C......是看call头部的代码吗？？我知道的只是retn xx的结果是在ESP上+xx，可似乎有时候我都用retn也没什么关系，这是为什么？UD]Arthas2008-04-19, 16:24:43使用retn，因为你说的是在call的头部返回，也就
2017-10-16 20:42:10
14547
转载 wow32注入64位进程
转载地址：http://www.cnblogs.com/lanrenxinxin/p/4821152.html在之前写注入都是32位exe文件注入32位dll到32位exe文件中，或者都是64位。但是之前看到关于32位进程注入64位进程的方法，将学习笔记记录下来。之前的文章：注入小结我们需要借助GitHub上的开源库rewolf-wow64ext 这个库的目的就是让运行在W
2017-10-15 20:22:27
1834
转载 Detours的使用
转载地址 http://blog.chinaunix.net/uid-7672958-id-2599026.htmlDetour工具包作用：拦截API函数先用一个简单的例子说明问题：//dll.cpp#include #include "detours.h"static LONG dwSlept = 0; static VOID (WINAPI * Tr
2017-10-15 20:09:19
2521
转载 __declspec(dllimport)加和不加的区别
总的来说对于DLL总导入的函数调用，加和 不加__declspec(dllimport)的效果都是一样的，区别在于，不加__declspec(dllimport)则二进制代码多了一个JMP指令，仅此而已。对于C++中的函数调用编译器函数调用大多产生类似 call 0xxxxxxxxx 形式的指令代码，如果不加__declspec(dllimport)则编译器分辨
2017-10-15 19:32:40
2273
原创 32位进程在64位系统中的文件重定向
最近遇见了一个问题，如下：一个32位进程A,通过调用如下代码浏览文件， OPENFILENAME ofn; // common dialog box structure TCHAR szFile[MAX_PATH * 100] = { 0 }; // buffer for file name // Initialize OPENFI
2017-10-13 13:51:36
465
1
原创 调试LocalFree(NULL)
在项目中调用如下代码 PCHAR pBuffer =NULL; LocalFree(pBuffer); //传入空地址，居然不崩溃 LocalFree 由kernel32.dll导出IDA打开kernel32.dll，在导出表中找到LocalFree，然后双击进去IDA View中找到.text:6B817996 align 10h.te
2017-10-09 12:49:56
752
ASM 汇编工具 ASM 汇编工具
2010-03-16
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人