最近一直不务正，老打算用C#写个外挂出来。 这方面对C#来说是个弱项，但并不表示无法做到。 下面写个简单的例子，和大家交流一下。 以windows中的扫雷为例，比如说读取雷的数量。 1.首先导入API（对底层的操作都要用API）：
在笔者前几篇文章中我们一直在探讨如何利用Metasploit这个渗透工具生成ShellCode以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向ShellCodeShell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与《运用C语言编写ShellCode代码》中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对Metasploit工具生成的Shell原理的理解能够起到促进作用。
在Windows操作系统中，运行的每一个进程都生活在自己的程序空间中（保护模式），每一个进程都认为自己拥有整个机器的控制权，每个进程都认为自己拥有计算机的整个内存空间，这些假象都是操作系统创造的（操作系统控制CPU使得CPU启用保护模式）。理论上而言，运行在操作系统上的每一个进程之间都是互不干扰的，即每个进程都会拥有独立的地址空间。比如说进程B修改了地址为0x4000000的数据，那么进程C的地址为0x4000000处的数据并未随着B的修改而发生改变，并且进程C可能并不拥有地址为0x4000000的内存(操作系统可能没有为进程C映射这块内存)。因此，如果某进程有一个缺陷覆盖了随机地址处的内存(这可能导致程序运行出现问题)，那么这个缺陷并不会影响到其他进程所使用的内存。
所谓DLL注入就是将一个DLL放进某个进程的地址空间里，让它成为那个进程的一部分。要实现DLL注入，首先需要打开目标进程。
如果将shellcode注入到具有特定权限的进程中，我们就可以获得与该进程相同的权限，此方法可以用于提权与降权操作，注入有多种方式，最简单的是直接将metasploit生成的有效载荷直接注入到目标进程中，并通过创建远程线程启动，还可以自己实现一个注入器，这里我们自己来实现一个提权器，可提权也可降权。
信标对象文件 (BOF) 是一个已编译的 C 程序，按照约定编写，允许在信标进程中执行并使用内部信标 API。
自从上篇使用Flaui实现微信自动化之后，这段时间便一直在瞎研究微信这方面，目前破解了Window微信的本地的Sqlite数据库，使用Openssl，以及Win32Api来获取解密密钥，今天作为第一张，先简单写一下，获取微信的一些静态数据，以及将自己写的c语言dll通过Api注入到微信进程里面去，最后调用我们的dll的方法。话不多说，让我们开始吧。
0x01 进程遍历 因为进程是在随时进行变动的所以我们需要获取一张快照 1.1 CreateToolhelp32Snapshot HANDLE CreateToolhelp32Snapshot( DWORD dwFlags, DWORD th32ProcessID); 因为要获取进程第一个参数选择TH32CS_SNAPPROCESS来获取系统中所有的进程，具体可以参考[CreateToolhelp32Snapshot]：https://docs.microsoft.com/zh-cn/windows/w
CreateToolhelp32Snapshot函数 https://learn.microsoft.com/zh-cn/windows/win32/api/tlhelp32/nf-tlhelp32-createtoolhelp32snapshot 获取指定进程的快照，以及这些进程使用的堆、模块和线程。(也就是说，我们可以利用这个函数来获取进程的PID)
文章前先给各位师傅拜个早年啦，要过年了，公众号也会停更一段时间，年后回复啦。这篇文章中，我们将介绍如何来隐藏你程序的PEB信息。首先先来了解一下什么是PEB，其全程为Process Envirorment Block ，直译过来就是进程环境信息块，存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。其结构如下：
今天要完成一个项内容，运行另一个应用程序abc.exe，实现它的父进程是explorer.exe。
远程线程注入是最常用的一种注入技术，该技术利用的核心API是 `CreateRemoteThread()` 这个API可以运行远程线程，其次通过创建的线程调用 `LoadLibraryA()` 这个函数动态载入指定的DLL即可实现运行DLL， 而`LoadLibrary()`函数在任何一个可执行文件中都可以被调用到，这就给我们注入提供了有效的条件.
原来是为了在游戏外挂中发送键盘鼠标消息，自己写个sendmessage或者是postmessage又比较麻烦。于是google了一下，发现现在很多脚本工具都有这个功能，其中按键精灵的一个叫361度的插件已经有这个的实现，还验证过了。为什么不拿来己用呢？ 首先分析一下按键精灵插件的接口，发现：
ring0调用ring3早已不是什么新鲜事，除了APC，我们知道还有KeUserModeCallback.其原型如下： 代码:
64位进程,就得用64位的EXE来CreateRemoteThread, 另外DLL也应该是64位
挂起目标进程，停止目标进程EIP的变换，在目标进程开启空间，然后把相关的指令机器码和数据拷贝到里面去，然后修改目标进程EIP使其强行跳转到我们拷贝进去的相关机器码位置，执行相关，然后跳转回来。下面的例子是实现DLL注入,但是和平时说的远程代码注入在注入的逻辑上不同，但是同时都是用到了一个重要的结论就是：很多系统dll的导出函数地址在不同进程中，是一样的.
这个API可获取到线程ID，写内存，包括进程句柄,ByVal 内存区地址,数据,总长度,已经完成长度，读取进程，包括进程句柄,
程序在运行时会把自身的二进制文件加入到内存中，其中相关的函数、变量等都会在内存中对应固定的地址。但是程序功能一般不会仅靠单独一个二进制文件实现，有时还需要调用系统提供的API来进行一些操作。而这通常是靠引用预先集成了许多函数的DLL（动态链接库）文件，并调用其中的函数来实现。由于DLL不包含在程序的二进制文件中，所以需要在运行的时候由操作系统加入到进程的内存空间中。
在渗透过程中有时候为了权限维持或者其他等一些操作，比如以前的搜狗输入法可以替换dll文件当用户切换输入法就会去加载我们替换的dll文件，dll文件可以自己编写一些net user或者其他的一些方法，也可以通过msf等来生成dll文件进行替换。
0x07 Python实现键盘记录器 这份代码比较经典，里面的注释也写的很详细，我也就直接放出来给大家一起学习一下。 简单说一说 我们定义了pyhook的hookmanager管理器，然后将我们自定义的回调函数keystroke与keydown事件进行了绑定。之后我们通过pyhook勾住了所有的按键事件，然后继续消息循环，当目标按下键盘上的一个键时，我们的keystroke函数就会被调用，它唯一的一个参数就是触发这个事件的对象。在这个函数中，我们要做的第一件事是检查用户是否切换了窗口，如果切换了窗口，我们需
下面的代码需要Windows API和Python标准库ctypes的相关知识。 from ctypes.wintypes import * from ctypes import * kernel32 = windll.kernel32 class tagPROCESSENTRY32(Structure): #定义结构体 _fields_ = [('dwSize', DWORD), ('cntUsage', DWORD),
进程状态的判断包括验证进程是否存在，实现方法是通过枚举系统内的所有进程信息，并将该进程名通过CharLowerBuff转换为小写，当转换为小写模式后则就可以通过使用strcmp函数对比，如果发现继承存在则返回该进程的PID信息，否则返回-1。
在正常情况下，要想使用GetProcAddress函数，需要首先调用LoadLibraryA函数获取到kernel32.dll动态链接库的内存地址，接着在调用GetProcAddress函数时传入模块基址以及模块中函数名即可动态获取到特定函数的内存地址，但在有时这个函数会被保护起来，导致我们无法直接调用该函数获取到特定函数的内存地址，此时就需要自己编写实现LoadLibrary以及GetProcAddress函数，该功能的实现需要依赖于PEB线程环境块，通过线程环境块可遍历出kernel32.dll模块的入口地址，接着就可以在该模块中寻找GetProcAddress函数入口地址，当找到该入口地址后即可直接调用实现动态定位功能。
代码运行后，可以实时监视用户计算机桌面上拥有焦点的窗口，如果焦点有切换就会给出提示。 from ctypes import * from time import sleep from datetime import datetime #方便调用Windows底层API函数 user32 = windll.user32 kernel32 = windll.kernel32 psapi = windll.psapi #实时查看当前窗口 def getProcessInfo(): global windows
1、CS powershell上线过程分析 2、powershell shellcodeloader分析 3、shellcode内容 4、dll注入相关内容 5、ReflectDllInjection技术分析
uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs, StdCtrls;
在 Windows 上，可能发生的一种情况是，高完整性进程（也称为提升进程）或 SYSTEM 进程可能具有内核对象（例如其他进程/线程/令牌）的句柄，并且随后能够产生子进程。 . 如果这些提到的对象是特权的（例如，它们本身是提升/SYSTEM进程）并且由子进程继承，则会出现中等完整性进程持有特权资源句柄的情况，并且如果该句柄被克隆并且如果利用得当，这可能会导致权限提升。在这篇文章中，我们将了解如何自动搜索此类情况以及如何利用它们来提升您的权限或规避 UAC 等安全措施。
进程注入是将任意代码写入已经运行的进程中并执行，可以用来逃避检测对目标目标进程中的敏感信息进行读/写/执行访问，还可以更改该进程的行为。
首先，我们的ShellCode代码需要自定位，因为我们的代码并不是一个完整的EXE可执行程序，他没有导入表无法定位到当前系统中每个函数的虚拟地址，所以我们直接获取到Kernel32.dll的基地址，里面的GetProcAddr这个函数，获取的方式有很多，第一种是暴力搜索，第二种通过遍历进程的TEB结构来实现，我们使用第二种方式尝试，一旦获取到该函数，就可以动态的调用任何想要的函数了。
各种API远程线程注入的方法，分别是 远程线程注入，普通消息钩子注入，全局消息钩子注入，APC应用层异步注入，ZwCreateThreadEx强力注入，纯汇编实现的线程注入等。
大家好，又见面了，我是你们的朋友全栈君。下面是本人愿来写的关机程序可以适用于98/xp/2000,在程序中调用即可。现在操作系统多为2000或xp,所以需要特别注意的是应该先得到关机的特权:(要想弄懂下面的程序,先要具备vb调用api函数的知识……)
ThreadStackSpoofer是一种先进的内存规避技术，它可以帮助广大研究人员或红/蓝队人员更好地隐藏已注入的Shellcode的内存分配行为，以避免被扫描程序或分析工具所检测到。
VBA用到一定的时候，就会发现有些功能实现不了，被限制束缚了，这个时候一旦接触到了Windows API，就感觉又有了一片新天地。
Sharperner是一款C#编写的自动化免杀工具，用来生成免杀的exe文件或者C++的loader，在antiscan.me上为全绿，效果可见一斑。
继续学习《逆向工程核心原理》，本篇笔记是第三部分：DLL注入，主要包括三种DLL注入、DLL卸载、修改PE、代码注入等内容
Antimalware Scan Interface(AMSI)为反恶意软件扫描接口。
0x00 远线程注入远线程注入是指一个进程在另一个进程中创建线程的技术。0x01 函数介绍OpenProcess作用： 打开现有的本地进程对象。函数声明：HANDLE WINAPI OpenProcess( _In_ DWORD dwDesiredAccess, _In_ BOOL bInheritHandle, _In_ DWOR
ini文件在Win95以前比较盛行，之后由于出册表等技术的出现，ini技术主键退居二线，不过对于一些小项目，读写ini文件还是很适用的。
参数： dwDesiredAccess： 想拥有该进程的访问权限，若进程启动了SeDebugPrivilege权限，则无论安全描述符内容是什么，都会授予请求的访问权限。
什么是游戏外挂？ 试想场景，在玩游戏时，没有得到良好的游戏体验，加之玩游戏的这位又是偏激之人，此时心生愤怒，但通过自己的游戏技术，又无法得到发泄。所以很无奈，只能打开一种游戏作弊程序，这种游戏作弊程序就叫做游戏外挂。
木马和病毒的好坏很大程度上取决于它的隐蔽性，木马和病毒本质上也是在执行程序代码，如果采用独立进程的方式需要考虑隐藏进程否则很容易被发现，在编写这类程序的时候可以考虑将代码注入到其他进程中，借用其他进程的环境和资源来执行代码。远程注入技术不仅被木马和病毒广泛使用，防病毒软件和软件调试中也有很大的用途，最近也简单的研究过这些东西，在这里将它发布出来。 想要将代码注入到其他进程并能成功执行需要解决两个问题：
《Python黑帽子：黑客与渗透测试编程之道》的读书笔记，会包括书中源码，并自己将其中一些改写成Python3版本。书是比较老了，anyway，还是本很好的书
这个只适用于xp系统，win7系统不可以随便CreateRemoteThread了，返回值一直为NULL
SSDT 中文名称为系统服务描述符表，该表的作用是将Ring3应用层与Ring0内核层，两者的API函数连接起来，起到承上启下的作用，SSDT并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基址、服务函数个数等，SSDT 通过修改此表的函数地址可以对常用 Windows 函数进行内核级的Hook，从而实现对一些核心的系统动作进行过滤、监控的目的，接下来将演示如何通过编写简单的驱动程序，来实现搜索 SSDT 函数的地址，并能够实现简单的内核 Hook 挂钩。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
