qq_41490873的博客

原创 远程创建线程实现DLL注入

#include "stdafx.h"#include <windows.h>#include<tlhelp32.h>#define szProcessName TEXT("C:/add.exe")typedef HMODULE ( _stdcall *PLPADL

原创 长调用与短调用 调用门

cs里的是一个段选择子1：拆分段选择子，查GDT表2：该段描述符为系统描述符，s位为0，TYPE为1100，是一个门描述符（DPL必须为3，不然该描述符的权限检查过不去）3：该描述符的16到31位为另外一个段描述符的选择子（决定是否提权）门描述符当段描述符是门描述符时，高16位与低16位组成一个32的地址。是程序通过门后代码执行的地址。16到31位是一个段选择子，决定是否提权。...

原创 代码段跳转流程

JMP 0x20：0x423633 CPU如何执行这一条代码？1：段选择子拆分RPL =0TI =0Index=42：查表得到段描述符TI=0 查GDT表Index=4 在表里找到对应的段描述符，判断段描述符的S位为下列之一则可以跳转。四种情况可以跳转：代码段，调用门，TSS任务段，任务门3：权限检查如果是非一直代码段，要求CPL==DPL 并且 RPL<=DPL如果...

原创 段权限检查

**CPL（Current Provilege Level）当前特权级别 **CS和SS中存储的段选择子的后2位DPL(Descriptor Provilege Level)描述符特权级别DPL存储在段描述符中，规定了访问该段所需要的特权级别RPL(Request Provilege Level)请求特权级别段选择子的后两位...

原创 段描述符 DB位

原创 段描述符与段选择子

GDTR 寄存器存放的是GDT（全局描述符表）表的位置和大小，大小为48位在windeg中 r gdtr 查看GDT表的位置r gdtl 查看表的大小GDT表里面存放的元素称为段描述符 大小为8字节dd +地址 查看地址里面的内容 查看4字节dq +地址 查看8字节段描述符段选择子段选择子是一个16位的段描述符...