腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

Eureka的技术时光轴

专栏作者

338

文章

685475

阅读量

39

订阅数

驱动里执行应用层代码之KeUserModeCallBack，支持64位win7（包括WOW64）

shell 编程算法

在驱动层（ring0）里执行应用层（ring3）代码，这是个老生常谈的技术，而且方法也挺多。

2019-11-19

2.1K0

ring0下注入DLL

shell 编程算法

最近有在做一个东西，需要在ring0下拦截进程启动并注入DLL（dll用于hook ring3下的API），很多种实现方法，此处采用sudami大神提供的思路，另一位大侠提供的参考代码。虽然这个东西没什么技术含量，但对于我这种刚入门内核的人还是搞了很久才做出来，蓝屏很多，要注意很多细节.

2019-11-19

8200

Dll注入技术之驱动注入

网络安全 shell 编程算法

我这里驱动注入的技术是：采用驱动向目标进程插入APC执行LdrLoadDll函数加载Dll模块。

2019-11-04

2.3K0

power shell测试wmi

PS C:\Users\AT> Get-CimInstance -query 'Select * from Win32_BIOS' -Namespace root/cimv2 SMBIOSBIOSVersion : P85 Ver. 01.04 Manufacturer : HP Name : P85 Ver. 01.04 SerialNumber : 5CD7204SZ9 Version : HPQOEM - 0 PS C:

2019-07-24

6220

安全模式下的自动启动

安全网络安全 shell windows

我们经常使用安全模式来处理病毒、木马、流氓软件等，这是因为安全模式会忽略启动项。但是，并非所有的启动项都会被忽略，使得安全模式并不安全。

2019-07-24

1.1K0

几种跳转指令和对应的机器码

node.js shell 数据分析

几种跳转指令和对应的机器码 0xE8 CALL 后面的四个字节是地址 0xE9 JMP 后面的四个字节是偏移 0xEB JMP 后面的二个字节是偏移 0xFF15 CALL 后面的四个字节是存放地址的地址 0xFF25 JMP 后面的四个字节是存放地址的地址 0x68 PUSH 后面的四个字节入栈 0x6A PUSH 后面的一个字节入栈 shellcode跳转

2019-07-24

2.4K0

N种内核注入DLL的思路及实现

shell 网络安全编程算法 kernel php

内核注入，技术古老但很实用。现在部分RK趋向无进程,玩的是SYS+DLL，有的无文件，全部存在于内存中。可能有部分人会说：“都进内核了.什么不能干？”。是啊，要是内核中可以做包括R3上所有能做的事，软件开发商们也没必要做应用程序了。有时，我们确实需要R3程序去干驱动做起来很困难或者没必要驱动中去做的事，进程 / DLL是不错的选择，但进程目标太大，所以更多的同学趋向于注DLL。若要开发安全软件、小型工具，可借鉴其思路，Anti Rootkits时，在某些极端情况下，可使用同样的技术发现、清除RK，保证用户电脑的正常使用。在此，我将探讨几种内核注入DLL的思路及实现原理。 (1) APC技术给一个Alertbale的用户态线程插APC，让其执行其中的ShellCode,来执行我们的代码。这个方法简单易行，但是不够稳定，兼容性不好。测试中发现经常出现Explorer.exe等插崩溃的情况，而且有杀软在的情况下，插入有时会被拦截，起不到应有的效果。(可参考我以前逆过的一个驱动：逆向fuck.sys--编译通过--源码) (2) 内核Patch [url=file://KnownDLLs/Kernel32.dll]\\KnownDLLs\\Kernel32.dll[/url] CreateThread [url=file://KnownDLLs/]\\KnownDLLs[/url]是系统加载时对象管理器加载最新磁盘DLL到内存的，当其他进程想调用某个DLL时，就不用重复从磁盘加载了，而会从这里映射一份到自己的进程空间中去。这样给我们做全局Patch提供了一个很好的机会： ZwOpenSection打开 [url=file://KnownDlls/kernel32.dll]\\KnownDlls\\kernel32.dll[/url]，调用ZwMapViewOfSection映射一份到自己进程空间，然后寻找kernel32.dll在内存中代码节的空隙，选择这里作为我们fake函数的存储Buffer。修改CreateThread函数的开头5字节跳转到这个间隙，当系统任何一个线程创建时，会走到CreateThread函数，然后执行空隙中的ShellCode，其负责调用LoadLibrary加载我们的DLL。DLL一经加载，会发IOCTL通知本驱动，让驱动卸载HOOK。这样就完成了内核注DLL的过程。测试时发现Svchost.exe进程调用CreateThread函数很频繁，所以触发也会很快，基本1秒不到就能将DLL加载进去，而我们的HOOK也卸掉了。所以稳定性提高不少。示意图如下：

2019-07-24

2.2K0

没有更多了

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态