实习记录2

第三天

函数分析：

• QueryPerformanceCounter：检索性能计数器的当前值，该值是一个高分辨率（<1us）时间戳，可用于时间间隔测量。

BOOL QueryPerformanceCounter(
  LARGE_INTEGER *lpPerformanceCount
);

lpPerformanceCount
指向接收当前性能计数器值的变量的指针，以计数为单位。

• GetSystemTimeAsFileTime函数：检索系统当前日期和时间。

void GetSystemTimeAsFileTime(
  LPFILETIME lpSystemTimeAsFileTime
);

lpSystemTimeAsFileTime
指向FILETIME结构的指针，用于 以UTC格式接收当前系统日期和时间。

• FILETIME结构：包含一个64位值，表示自1601年1月1日（UTC）以来100纳秒间隔的数量。

typedef struct _FILETIME {
  DWORD dwLowDateTime;
  DWORD dwHighDateTime;
} FILETIME, *PFILETIME, *LPFILETIME;

• GetTickCount函数：检索自系统启动以来经过的毫秒数，最多49.7天。
• alloca：在栈上分配空间，该变量离开作用域之后自动释放空间。

第四天

木马病毒中常见的Windows API函数

• HttpOpenRequest、HttpSendRequest、InternetConnect.

内核SSDT：系统服务描述符表，详细可以阅读《加密与解密》这本书，好像去年出了第4版，满满的硬核知识啊！

PEB动态获取API的地址

• 一位大师傅的博客说得很详细：shellcode中动态定位API
• 同时也可以仔细看《0day：软件安全漏洞》这本书，看雪论坛真的很强啊！我学习的兴趣上来了。