腾讯云
开发者社区
文档
建议反馈
控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
搜索
搜索
关闭
发布
登录/注册
首页
学习
活动
专区
工具
TVP
最新优惠活动
返回腾讯云官网
灰帽黑客：攻守道
黑客与安全专家的编程之道
专栏作者
举报
343
文章
87487
阅读量
42
订阅数
订阅专栏
申请加入专栏
全部文章（343）
c++（98）
信息安全（95）
函数（91）
进程（35）
内存（32）
数据（32）
字符串（30）
boost（29）
windows（27）
汇编语言（25）
开发（23）
程序（22）
python（21）
内核（20）
指针（19）
存储（15）
数组（14）
容器（13）
openssl（13）
领域驱动设计（12）
stl（11）
遍历（10）
加密（9）
客户端（9）
变量（8）
监控（8）
搜索（8）
系统（8）
线程（8）
对象（7）
服务端（7）
算法（7）
网络安全（6）
boost-asio（6）
磁盘（6）
push（5）
api（4）
hook（4）
int（4）
rsa（4）
std（4）
aes（3）
char（3）
ssl（3）
编译器（3）
插件（3）
脚本（3）
连接（3）
事件（3）
调试（3）
同步（3）
网络编程（3）
主机（3）
网站（2）
安全（2）
数据结构（2）
asm（2）
cmd（2）
crc（2）
file（2）
编码（2）
递归（2）
定时器（2）
工具（2）
管理（2）
集合（2）
计算机（2）
链表（2）
浏览器（2）
命令行（2）
排序（2）
入门（2）
软件（2）
通信（2）
效率（2）
序列化（2）
异步（2）
优化（2）
原理（2）
原型（2）
抓包过滤（2）
开发者实验室（1）
json（1）
web.py（1）
SSL 证书（1）
云主机安全（1）
渲染（1）
游戏（1）
自动化（1）
爬虫（1）
shell（1）
base64（1）
case（1）
count（1）
date（1）
driver（1）
error（1）
inline（1）
invoke（1）
list（1）
memory（1）
null（1）
object（1）
registry（1）
scapy（1）
shapefile（1）
socket（1）
string（1）
struct（1）
time（1）
web（1）
xor（1）
编译（1）
表格（1）
并发（1）
操作系统（1）
代理（1）
队列（1）
多线程（1）
二进制（1）
服务（1）
服务器（1）
教程（1）
快捷键（1）
框架（1）
漏洞（1）
逆向工程（1）
配置（1）
权限（1）
索引（1）
网关（1）
网络（1）
协议（1）
异常（1）
语法（1）
调试器（1）
内存映射（1）
搜索文章
搜索
搜索
关闭
5.9 Windows驱动开发：内核InlineHook挂钩技术
windows
代理
函数
开发
内核
在上一章《内核LDE64引擎计算汇编长度》中，LyShark教大家如何通过LDE64引擎实现计算反汇编指令长度，本章将在此基础之上实现内联函数挂钩，内核中的InlineHook函数挂钩其实与应用层一致，都是使用劫持执行流并跳转到我们自己的函数上来做处理，唯一的不同的是内核Hook只针对内核API函数，但由于其身处在最底层所以一旦被挂钩其整个应用层都将会受到影响，这就直接决定了在内核层挂钩的效果是应用层无法比拟的，对于安全从业者来说学会使用内核挂钩也是很重要。
微软技术分享
2023-12-08
279
0
8.4 Windows驱动开发：文件微过滤驱动入门
windows
服务
函数
开发
入门
MiniFilter 微过滤驱动是相对于SFilter传统过滤驱动而言的，传统文件过滤驱动相对来说较为复杂，且接口不清晰并不符合快速开发的需求，为了解决复杂的开发问题，微过滤驱动就此诞生，微过滤驱动在编写时更简单，多数IRP操作都由过滤管理器(FilterManager或Fltmgr)所接管，因为有了兼容层，所以在开发中不需要考虑底层IRP如何派发，更无需要考虑兼容性问题，用户只需要编写对应的回调函数处理请求即可，这极大的提高了文件过滤驱动的开发效率。
微软技术分享
2023-12-02
450
1
7.3 Windows驱动开发：内核监视LoadImage映像回调
windows
函数
进程
开发
内核
在笔者上一篇文章《内核注册并监控对象回调》介绍了如何运用ObRegisterCallbacks注册进程与线程回调，并通过该回调实现了拦截指定进行运行的效果，本章LyShark将带大家继续探索一个新的回调注册函数，PsSetLoadImageNotifyRoutine常用于注册LoadImage映像监视，当有模块被系统加载时则可以第一时间获取到加载模块信息，需要注意的是该回调函数内无法进行拦截，如需要拦截则需写入返回指令这部分内容将在下一章进行讲解，本章将主要实现对模块的监视功能。
微软技术分享
2023-12-02
200
0
7.2 Windows驱动开发：内核注册并监控对象回调
windows
对象
监控
开发
内核
在笔者上一篇文章《内核枚举进程与线程ObCall回调》简单介绍了如何枚举系统中已经存在的进程与线程回调，本章LyShark将通过对象回调实现对进程线程的句柄监控，在内核中提供了ObRegisterCallbacks回调，使用这个内核回调函数，可注册一个对象回调，不过目前该函数只能监控进程与线程句柄操作，通过监控进程或线程句柄，可实现保护指定进程线程不被终止的目的。
微软技术分享
2023-12-02
290
0
7.6 Windows驱动开发：内核监控FileObject文件回调
windows
函数
监控
开发
内核
本篇文章与上一篇文章《内核注册并监控对象回调》所使用的方式是一样的都是使用ObRegisterCallbacks注册回调事件，只不过上一篇博文中LyShark将回调结构体OB_OPERATION_REGISTRATION中的ObjectType填充为了PsProcessType和PsThreadType格式从而实现监控进程与线程，本章我们需要将该结构填充为IoFileObjectType以此来实现对文件的监控，文件过滤驱动不仅仅可以用来监控文件的打开，还可以用它实现对文件的保护，一旦驱动加载则文件是不可被删除和改动的。
微软技术分享
2023-12-02
308
0
6.8 Windows驱动开发：内核枚举Registry注册表回调
windows
registry
函数
开发
内核
在笔者上一篇文章《内核枚举LoadImage映像回调》中LyShark教大家实现了枚举系统回调中的LoadImage通知消息，本章将实现对Registry注册表通知消息的枚举，与LoadImage消息不同Registry消息不需要解密只要找到CallbackListHead消息回调链表头并解析为_CM_NOTIFY_ENTRY结构即可实现枚举。
微软技术分享
2023-12-02
197
0
6.7 Windows驱动开发：内核枚举LoadImage映像回调
windows
函数
开发
内核
数组
在笔者之前的文章《内核特征码搜索函数封装》中我们封装实现了特征码定位功能，本章将继续使用该功能，本次我们需要枚举内核LoadImage映像回调，在Win64环境下我们可以设置一个LoadImage映像加载通告回调，当有新驱动或者DLL被加载时，回调函数就会被调用从而执行我们自己的回调例程，映像回调也存储在数组里，枚举时从数组中读取值之后，需要进行位运算解密得到地址。
微软技术分享
2023-12-02
207
0
6.4 Windows驱动开发：内核枚举DpcTimer定时器
windows
定时器
函数
开发
内核
在操作系统内核中，DPC（Deferred Procedure Call）是一种延迟执行的过程调用机制，用于在中断服务例程（ISR）的上下文之外执行一些工作。DPC定时器是基于DPC机制的一种定时执行任务的方式。
微软技术分享
2023-11-28
301
0
6.3 Windows驱动开发：内核枚举IoTimer定时器
windows
定时器
函数
开发
内核
今天继续分享内核枚举系列知识，这次我们来学习如何通过代码的方式枚举内核IoTimer定时器，内核定时器其实就是在内核中实现的时钟，该定时器的枚举非常简单，因为在IoInitializeTimer初始化部分就可以找到IopTimerQueueHead地址，该变量内存储的就是定时器的链表头部。枚举IO定时器的案例并不多见，即便有也是无法使用过时的，此教程学到肯定就是赚到了。
微软技术分享
2023-11-28
168
0
6.2 Windows驱动开发：内核枚举SSSDT表基址
windows
函数
开发
内核
系统
在Windows内核中，SSSDT（System Service Shadow Descriptor Table）是SSDT（System Service Descriptor Table）的一种变种，其主要用途是提供Windows系统对系统服务调用的阴影拷贝。SSSDT表存储了系统调用的函数地址，类似于SSDT表，但在某些情况下，Windows系统会使用SSSDT表来对系统服务进行引导和调用。
微软技术分享
2023-11-27
160
0
6.1 Windows驱动开发：内核枚举SSDT表基址
windows
函数
开发
内核
系统
SSDT表（System Service Descriptor Table）是Windows操作系统内核中的关键组成部分，负责存储系统服务调用的相关信息。具体而言，SSDT表包含了系统调用的函数地址以及其他与系统服务相关的信息。每个系统调用对应SSDT表中的一个表项，其中存储了相应系统服务的函数地址。SSDT表在64位和32位系统上可能有不同的结构，但通常以数组形式存在。
微软技术分享
2023-11-27
263
0
7.5 Windows驱动开发：监控Register注册表回调
windows
函数
监控
开发
内核
在笔者前一篇文章《内核枚举Registry注册表回调》中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过CmRegisterCallback创建监控事件并传入自己的回调函数，与该创建对应的是CmUnRegisterCallback当注册表监控结束后可用于注销回调。
微软技术分享
2023-11-25
346
0
3.2 Windows驱动开发：内核CR3切换读写内存
windows
进程
开发
内存
内核
CR3是一种控制寄存器，它是CPU中的一个专用寄存器，用于存储当前进程的页目录表的物理地址。在x86体系结构中，虚拟地址的翻译过程需要借助页表来完成。页表是由页目录表和页表组成的，页目录表存储了页表的物理地址，而页表存储了实际的物理页框地址。因此，页目录表的物理地址是虚拟地址翻译的关键之一。
微软技术分享
2023-11-25
473
0
5.4 Windows驱动开发：内核通过PEB取进程参数
windows
函数
进程
开发
内核
PEB结构(Process Envirorment Block Structure)其中文名是进程环境块信息，进程环境块内部包含了进程运行的详细参数信息，每一个进程在运行后都会存在一个特有的PEB结构，通过附加进程并遍历这段结构即可得到非常多的有用信息。
微软技术分享
2023-11-22
347
0
7.1 Windows驱动开发：内核监控进程与线程回调
监控
进程
开发
内核
线程
在前面的文章中LyShark一直在重复的实现对系统底层模块的枚举，今天我们将展开一个新的话题，内核监控，我们以监控进程线程创建为例，在Win10系统中监控进程与线程可以使用微软提供给我们的两个新函数来实现，此类函数的原理是创建一个回调事件，当有进程或线程被创建或者注销时，系统会通过回调机制将该进程相关信息优先返回给我们自己的函数待处理结束后再转向系统层。
微软技术分享
2023-11-22
273
0
8.3 Windows驱动开发：内核遍历文件或目录
windows
遍历
函数
开发
内核
在笔者前一篇文章《内核文件读写系列函数》简单的介绍了内核中如何对文件进行基本的读写操作，本章我们将实现内核下遍历文件或目录这一功能，该功能的实现需要依赖于ZwQueryDirectoryFile这个内核API函数来实现，该函数可返回给定文件句柄指定的目录中文件的各种信息，此类信息会保存在PFILE_BOTH_DIR_INFORMATION结构下，通过遍历该目录即可获取到文件的详细参数，如下将具体分析并实现遍历目录功能。
微软技术分享
2023-11-22
272
0
8.2 Windows驱动开发：内核解锁与强删文件
windows
对象
函数
开发
内核
在某些时候我们的系统中会出现一些无法被正常删除的文件，如果想要强制删除则需要在驱动层面对其进行解锁后才可删掉，而所谓的解锁其实就是释放掉文件描述符（句柄表）占用，文件解锁的核心原理是通过调用ObSetHandleAttributes函数将特定句柄设置为可关闭状态，然后在调用ZwClose将其文件关闭，强制删除则是通过ObReferenceObjectByHandle在对象上提供相应的权限后直接调用ZwDeleteFile将其删除。
微软技术分享
2023-11-22
274
0
11.15 监控目录文件变化
file
函数
监控
异步
字符串
监视对指定目录的更改，并将有关更改的信息打印到控制台，该功能的实现不仅可以在内核层，在应用层同样可以。程序中使用ReadDirectoryChangesW函数来监视目录中的更改，并使用FILE_NOTIFY_INFORMATION结构来获取有关更改的信息。
微软技术分享
2023-11-21
211
0
11.9 实现磁盘相关操作
存储
遍历
磁盘
函数
数据
如下代码实现了在Windows系统中获取所有磁盘驱动器的信息。具体包括两个函数，一个用于获取驱动器类型，另一个用于获取驱动器空间信息。主函数则调用这两个函数来遍历所有逻辑驱动器并输出相应的信息。在输出驱动器空间信息时，会输出该驱动器的总大小、已用空间以及可用空间。
微软技术分享
2023-11-21
178
0
11.8 实现重置文件时间戳
存储
递归
函数
指针
字符串
如下代码是一段文件路径切割实现，通过传入文件路径，获取文件名和文件路径的功能。具体实现包括两个函数：GetFileName和GetFilePath。前者接收一个文件路径字符串，并返回该文件路径中的文件名；后者接收一个文件路径字符串，并返回该文件路径中除文件名以外的部分，即文件路径。
微软技术分享
2023-11-21
172
0
点击加载更多
社区活动
腾讯技术创作狂欢月
“码”上创作 21 天，分 10000 元奖品池！
立即发文
Python精品学习库
代码在线跑，知识轻松学
立即查看
博客搬家 | 分享价值百万资源包
自行/邀约他人一键搬运博客，速成社区影响力并领取好礼
立即体验
技术创作特训营·精选知识专栏
往期视频·千货材料·成员作品 最新动态
立即查看
领券
问题归档
专栏文章
快讯文章归档
关键词归档
开发者手册归档
开发者手册 Section 归档