逆向技术

一个学习逆向技术的专栏,在这里可以学到逆向,破解.反汇编.
257 篇文章
59 人订阅

全部文章

IBinary

获取句柄的类型以及对应的ID序号

在有的时候.我们会需要对应句柄名字.以及句柄类型的名称. 以及它所对应的的ID. 因为每个系统不一样.所以每次都是不一样的. 有的时候我们就需要借助Pchunt...

773
IBinary

64位下的InlineHook

关于64位程序.网上HOOK方法一大堆.这里也记录一下. 了解跨平台HOOK的真相与本质.

552
IBinary

x32下PsSetLoadImageNotifyRoutine的逆向

纯属兴趣爱好.特来逆向玩玩. PsSetLoadImageNotifyRoutine 是内核中用来监控模块加载.操作系统给我们提供的回调. 我们只需要填写对应...

734
IBinary

x32下逆向 PsSetCreateProcessNotifyRoutine 进程钩子

因自己工作,可能后面会写ark工具.所以周六周日没事就逆向了一下进程回调数组. 虽然资料很多.但是自己动手自己明白.总比别人给的好.

802
IBinary

x64下进程保护HOOK

以前我们讲过.SSDT 可以做很多事情.比如可以防止进程被结束 其实到了x64下.你也可以HOOK SSDT.只不过你需要过一下PatchGuard 但是在...

932
IBinary

X86 下的SSDT HOOK

x64下可以设置回调来进行过滤我们想要的功能.当然如果你简单的过一下PatchGuard也可以设置SSDT HOOK.

822
IBinary

ZwQuerySystemInfoMation函数使用

函数很简单.就4个参数. 参数已就是传个类型.代表你要查询什么类型.这个函数很强大.基本什么都是可以查询 参数2: 就是一个缓冲区.这个缓冲区是根据你查询的类...

731
IBinary

64位内核开发第十三讲,内核中常用的链表等数据结构

不管是Ring0还是Ring3数据结构都是必须要知道的.数据结构是一种思想. 以及怎么存储数据. 跟语言无关.平台无关.

702
IBinary

64内核开发第11讲.多线程开发.以及同步.

现在的程序基本是很多个线程.不想以前一样.而进程和线程的关系就是 一对多的关系.

682
IBinary

64位内核开发第十讲,IRQL中断级别了解

中断就是产生的一个电信号.比如键盘.当按下就会产生电信号发送给CPU 而CPU就会停止当前处理.去执行电信号.他是根据IRQL中断级别来进行处理的. 如下图...

1182
IBinary

64位内核第三讲,Windbg的使用.以及命令

区别: bp 下的断点是死断点.函数名字变了但断点还是在哪里. bu 自动跟你你的函数进行下段点.不用担心会变. 在新的windbg中,bp失败.会自动换...

1563
IBinary

64位内核开发第九讲,注册表编程.

如下: 内核: \Registry\Machine\SYSTEM\CurrentControlSet\Control\Session Manager\pen...

1183
IBinary

64位内核开发第8讲,文件操作.以及删除文件.

内核层的两个??其实是符号链接.代表的是是 \device\harddiskvolume3

982
IBinary

64位内核第七讲.内核中字符串编程注意事项

在内核中.我们的字符有 char类型的.也有wchar_t类型的.分别是宽字符 跟窄字符.但是这种都不建议使用了.而内核提供了两个新的结构体让我们使用 分别...

1002
IBinary

64位内核开发第五讲,调试与反调试

debugport是在EPROCESS结构中的.调试时间会通过DebugPort端口将调试事件发送给ring3进行调试的.如果设置为0.则ring3就无法进行调...

1092
IBinary

64位内核开发第四讲,查看SSDT表与showSSDT表

KeServiceDescriptorTableShadow是ShadowSSDT表 KeServiceDescriptorTable是SSDT表.

1413
IBinary

64位内核开发第二讲.内核编程注意事项,以及UNICODE_STRING

我们编写驱动.一定要知道驱动是如何运行的 首先在我们安装一个驱动的时候,会创建一个服务.(注册表)

1432
IBinary

64位内核开发第十二讲,进程监视,ring3跟ring0事件同步.

事件状态: 有信号 Signaled 无信号 Non-signaled 事件类别 自动恢复 Synchronization 自动设置 不自动恢复. N...

982
IBinary

IAT Hook

我们知道PE有两种状态.第一种.在文件中的状态. 所以才有 VA 转 FOA等等的互相转换. 扯多了. 在文件状态. IAT表(firstThunk)跟 I...

1162
IBinary

x64汇编第四讲,c / C++中调用x64汇编

在x86下,我们的C/C++调用汇编可以直接 __asm进行内联. 或者也可以直接静态链接

1331

扫码关注云+社区

领取腾讯云代金券