- 博客(21)
- 资源 (604)
- 收藏
- 关注
原创 note : process helper
枚举进程时,整理了一个Helper.调用方代码LRESULT CViewProcessEnum::OnViewProcessEnum_EnumProcessInfo( WPARAM wparam, LPARAM lparam){ DWORD dwArrProcess[1024]; DWORD
2013-08-30 17:49:22 2348
原创 experiment : use Aux Library on R0
Aux Libray 是MS提供的内核库, 可以用来查询模块信息, 比如内核模块基址和模块Size.可以完成和未文档化API ZwQuerySystemInformation 相同的功能.因为是文档化的API接口, 所以比 ZwQuerySystemInformation 靠谱.参考资料:* pediy上kssd上有一篇用Aux Libray 查询模块信息的文章
2013-08-28 06:55:07 1053
原创 note : judge PE Image on R3/R0 by image address range
环境: winxpSp3r0定义了几个全局变量, 标识R3,R0程序的内存地址划分kd> dd MmHighestUserAddress L4805599dc 7ffeffff 00000000 00000000 00000000kd> dd MmSystemRangeStart L4805599d8 80000000 7ffeffff 00000000 0000000
2013-08-27 18:33:55 1602
原创 experiment : convert function as shellCode on our C project
ShellCode对应的函数, 一般都是动态调试时发现的. 又不想逆向成C, 才使用的ShellCode.暂时不知道在ShellCode中,如何使用带重定位信息的变量. e.g. 一个字符串.// ShellCode-1.cpp : Defines the entry point for the console application.//#include "stdafx.
2013-08-26 16:56:04 1253
原创 note : PE file format study
PE文件结构中分x86和X64两种版本, 记录笔记的时候以 _X 代替_X means 32 or 64e.g. IMAGE_NT_HEADERS32, IMAGE_NT_HEADERS64 以 IMAGE_NT_HEADERS_X代替PE文件从前到后的结构顺序 Dos头 NT头 = 文件头 + 可选头 扇区头PE结构定义Dos头
2013-08-25 14:49:31 1291
原创 windbg : find kernel address's means
在工程中看到一个魔法数, (WCHAR*)0x7FFE0030想替换这个魔法数为其他可理解的值.试验环境: Vmware中的WinSpSp3.因为是一个可以跑的开源工程, 在WinDbg中看 0x7FFE0030 是啥串?kd> dW 0x7FFE00307ffe0030 0043 003a 005c 0057 0049 004e 0044 004f C.:
2013-08-22 20:01:24 1592
转载 About the ACCESS_MASK Structure
original url from : http://blogs.msdn.com/b/openspecification/archive/2010/04/01/about-the-access-mask-structure.aspx原文附件[原始点]下载: Access-Mask-Blog.zip原文附件[CSDN]下载: About_the_ACCESS_MASK_Struct
2013-08-22 14:43:49 2311
转载 英文缩写含义
英文缩写VCR/LOL/XOXO/PS代表什么?original url from : http://www.chinadaily.com.cn/language_tips/columnist/2012-07/17/content_15589684.htm1 VCRVCR的全称是video cassette recorder,即卡带式录像机,在2000年左右已被现在常用
2013-08-22 12:03:17 3485
原创 分析 : BSOD案例 2013-0821
今天帮人解决了一个BSOD, 根据参考他提供的DUMP文件 和 他自己调试时发现的出错前后的一段驱动代码.没有接触他的R3和R0实体文件~问题描述测试一个入门的驱动程序:在ring3 通过DeviceIoControl 与驱动通信,驱动将一个进程的部分信息(ID、进程名等)写进缓冲区,通过双机调试在 win7 home basic 虚拟机上可以运行,但在外面主机(win7 旗舰版)中
2013-08-21 22:10:37 1697
转载 How to: Launch the Debugger Automatically
How to: Launch the Debugger AutomaticallyVisual Studio 2008 Other Versions Visual Studio 2010.NET Framework 3.0Visual Studio 2005Visual Studio .NET 2003
2013-08-20 15:39:47 1260
原创 debug : 调试主进程启动的子进程
情况分两种不带参数启动子进程 MS提供了调试方法 /// 不带参数启动的子进程自动附加调试方法, MS已经提供 /// http://msdn.microsoft.com/en-us/library/a329t4ed(v=vs.90).aspx /// > 当主进程CreateProcess 符合名字的EXE子进程时, 子进程就
2013-08-20 15:32:36 6718
原创 note : get address of KiFastCallEntry
在开源工程中看到取 KiFastCallEntry 地址, 但是 rdmsr 的参数 0x176, 是个魔法数.查了资料, 弄清楚了魔法数的含义.#ifndef IA32_SYSENTER_EIP#define IA32_SYSENTER_CS 0x174 ///< The 16-bit selector of a Ring 0 code segment#define IA
2013-08-18 18:33:17 904
原创 note : 使用宏简化代码的输入
在开源工程中, 看到类似下面的代码很蛋疼. ReLoadNtosCALL((PVOID)(&RObReferenceObjectByHandle),L"ObReferenceObjectByHandle",g_ulSystemKernelModuleBase,(ULONG)g_pImageModuleBase); ReLoadNtosCALL((PVOID)(&RKeInitializ
2013-08-17 18:14:24 2118
原创 note : font operation
程序中的字体用窗体默认提供的在不同Windows下面,显示的不一样.e.g. Win7X64下, Tab页题头字体是斜体,虽然不协调,还能看. 如果不设置成斜体, 看起来 又太大WinXpX86下, 如果是斜体, Tab页题头字体太小了,根本看不到, 看起来像"--"这样的符号.// Create fonts for tab labelsvoid TTabWnd::cre
2013-08-13 19:03:47 885
原创 note : A-Protect Study note
A: 看到A-Protect中, R3和R0通讯是采用Windows系统不用的句柄通讯的.在R3中ReadFile, 在R0中响应ReadFile时,判断是否为R0发来的特定自定义句柄.WDK中讲R3和R0通讯的例子,都是采用DeviceIOControl, 或采用MiniFilter的端口通讯方式.这么通讯(ReadFile)的原因是为了防止恶意程序拦截A-Protec
2013-08-13 10:50:59 1031
原创 note : append menu to menu on right click menu
今天想实现一个右键菜单出现时,出现的总菜单 = 公用菜单(编辑类的功能) + 具体菜单每个View一个特定菜单)从CodeProject上找了一个函数MergeMenu, 搞定.bool MergeMenu( CMenu * pMenuDestination, const CMenu * pMenuAdd, b
2013-08-12 23:59:44 1222
原创 note : CRichEdit right click menu on CView
功能 : CView的继承类 CViewNormal. 在CViewNormal中动态建立了一个CRichEdit控件, 在控件上右击出现菜单. 点击菜单, 在CViewNormal中响应菜单消息.备注: 开始用vs2010向导添加的菜单事件, 对于相同的菜单条目, 发现只有MainFrame的菜单才能被CViewNormal处理. 参考在CodeP
2013-08-12 04:32:04 1329
原创 note : R3R0测试程序框架
我们在做一些试验的时候, 会写一个测试程序来搞.如果是自己用, 多数同学会选择控制台程序 .如果是给同事用, 一般会写一个MFC Dialog程序.这几天, 在CodeProject找到一个原型, 挺好的. 用来做测试程序框架不错.做了一个SDI程序, 有一个左面板, 一个右面板.右面板是N多子窗体, 嵌在Tab页中.左面板中是一棵树, 每个节点对应右面版的子
2013-08-09 19:06:45 1181
原创 debug : vs2010 bebug 模式下 RC2135 编译错误
安装了vs2010sp1安装映像: X16-42552VS2010UltimTrial1.iso + VS2010SP1dvd1.iso即使是新建的工程, e.g. sdi, 默认风格(不使用vs2010自带的界面库), 编译Debug版时, 也会出现 rc2135的错误.Error 1 error RC2135: file not found: D:\temp\testMf
2013-08-08 14:48:42 2615
原创 experiment : VerifyFileSignatureBuildIn
在开源工程中找到一段校验PE文件签名的代码, 因为以前的工程没有用到过PE文件签名校验, 拿来做个实验.这段代码比MS给的签名验证的Demo好,对MS程序和第三方程序做了区分./// @file srcVerifyFileSignature.cpp/// @brief 测试 校验文件内建签名#include "stdafx.h"#include #inclu
2013-08-06 21:21:07 1165
转载 rc : Blue Screen Data
Blue Screen Data http://msdn.microsoft.com/en-us/library/windows/hardware/ff538869(v=vs.85).aspxBug Check Code Referencehttp://msdn.microsoft.com/en-us/library/windows/hardware/hh994433(v=
2013-08-04 19:56:51 895
pcasm-book-simplified-chinese.zip
2014-05-09
Advanced-Windows-Debugging-sources-awd.zip
2014-04-28
TrueCrypt 7.1a Source.zip
2013-11-01
filedisk-17-org.zip
2013-10-31
Sysinternals_Source.zip
2013-09-16
vs2010_Sample_C_plus_plus.zip
2013-08-08
DebugViewV4_81.zip
2013-03-13
srcSpyxx.zip
2012-09-30
ProcessExplorer
2011-11-05
cppunit-1.12.1.tar.gz
2011-08-30
STLport-5.2.1.tar.bz2
2011-08-20
工程目录结构模板设计_2011_0309_2054
2011-03-10
ResourceHack
2010-11-26
NTFS文件系统扇区存储探秘_电子书和随书光盘.7z
2019-03-18
Linux C程序设计王者归来_book_cd.7z.004
2018-08-22
Linux C程序设计王者归来_book_cd.7z.003
2018-08-22
Linux C程序设计王者归来_book_cd.7z.002
2018-08-21
Linux C程序设计王者归来_book_cd.7z.001
2018-08-21
eclipse-java-mars-2-win32-x86_64.zip
2017-04-21
International standard ISO/IEC C++98
2015-12-25
book code C语言名题精选百则
2015-12-16
depends22_x64.zip
2015-07-26
C++_Templates_The_Complete_Guide_book_code.zip
2015-06-14
quicktimesdk 7.3.0.70 for windows
2015-05-18
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人