- 博客(5)
- 资源 (2)
- 收藏
- 关注
RSS订阅原创 Windows Process句柄权限
在看到ARK工具上的Process句柄权限数值觉得当时理解有点模糊，来写个Blog加深印象。PROCESS_ALL_ACCESS 对应1FFFFF低16位从低位到高位分别对应0:PROCESS_TERMINATE 0x00011:PROCESS_CREATE_THREAD 0x00022:PROCESS_SET_SESSIONID 0x00043:PROCESS_VM_OPERATION 0x0008----------------4:PROCESS_VM_READ 0x0010
2020-11-16 23:32:36
1130
原创 页面置换算法笔记
整理了下自己操作系统书上有的，加强记忆最佳置换算法 最佳置换算法选择的被淘汰页面将是以后永不使用的，或许是在最长（未来）时间内不再被访问的页面。但人们没办法预知未来哪个页面最长时间不会被使用，因此此算法不可能实现。先进先出页面置换算法 FIFO 理解很简单，和队列一样，先进先出。当缺页中断时，淘汰表头的页面并把新调入的页面加到表尾。这种算法与通常页面的使用规律不符，可能会把有用的页面淘汰掉，可能是性能最差的算法，故实际应用极少。最近最少使用页面置换算法 LRU Least Rece
2020-11-04 22:33:05
346
原创 Windows 2004 19041版本下SSDT函数的获取
在Windows10 高版本中 ，因为页表隔离补丁（?）,__readmsr(0xC0000082) 返回KiSystemCall64Shadow，这玩意无法直接搜索到 KeServiceDescriptorTable，以前获取SystemServiceDescriptorTable的方法失效。这里是新的，效果图。代码抄的https://github.com/fIappy/infhook19041 嘤嘤嘤核心代码如下：NTSTATUS getKernelModuleByName(const ch
2020-10-24 11:39:44
480
原创 Window系统内存读写API简易阅读笔记---从R3到R0
以前一直都在用Read/WriteProcessMemory这个API读写内存，也没探究过Windows怎么实现的内存读写，这几天就了解了解这一部分。打开IDA，拖入KernelBase.dll(因为Kernel32.dll中的ReadProcessMemory会调转到KernelBase这里)，定位到API。BOOL __stdcall ReadProcessMemory(HANDLE hProcess, LPCVOID lpBaseAddress, LPVOID lpBuffer, SIZE_T
2020-10-23 19:57:40
1712
原创 原神反调试分析
打开CE，打开原神启动器。至此，游戏未加载驱动。启动器可以被CE正常读写。打开原神，CE中选择YuanShen.exe,发现原神并不能被读写。尝试分析不能读写的原因。CE调用的读取内存函数是NtReadVirtualMemory猜测有三种可能1.NtReadVirtualMemory被HOOK2.ObCallBack3.infinityhook第一种情况因为X64系统PatchGuard的存在排除。当然VT也是有可能的，现在先不考虑。第二种情况是最有可能的。第三种情况感觉不大靠谱。
2020-10-21 19:40:35
11039
7
高版本Windows下SSDT函数获取例子完整工程
2020-10-23
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人