因为我们沙箱注入了一个DLL到了目标进程，并且Hook了一系列NtXX(NtOpenKey)函数，所以我们在注入的代码中是不能使用RegXX(RegOpenKey等)这类函数的。因为RegXX系列函数在底层使用了NtXX系列函数，如果在注入DLL执行Hook后的逻辑中使用了RegXX系列函数，将会导致递归调用的问题，就让程序产生“蛋生鸡，鸡生蛋”这样的“思考”，可是程序不知道停止，最终脑袋用完了就挂了。于是使用Nt函数实现我们曾经习惯使用的RegXX函数是必要的。（转载请指明出处）
在之前的三篇文章《Stageless Beacon 生成流程分析》《Beacon C2Profile 解析》《Beacon 上线协议分析》中，已经穿插着将 C2Profile 的全部内容介绍完了，也把 Bypass 所需要的一些内容也都穿插着提到过了，接下来就该说如何对其进行 Bypass
句柄表老生常谈的话题，里面存储了 进程和线程的对象信息。 通过句柄表也可以遍历出隐藏的进程。也就是说全局句柄表里面存储的并不是句柄 而是进程EPROCESS 和线程 ETHREAD
学习笔记的所有源代码都在这里，https://github.com/techstay/csharp-learning-note 。
在操作系统内核中，DPC（Deferred Procedure Call）是一种延迟执行的过程调用机制，用于在中断服务例程（ISR）的上下文之外执行一些工作。DPC定时器是基于DPC机制的一种定时执行任务的方式。
在笔者上一篇文章《驱动开发：内核取应用层模块基地址》中简单为大家介绍了如何通过遍历PLIST_ENTRY32链表的方式获取到32位应用程序中特定模块的基地址，由于是入门系列所以并没有封装实现太过于通用的获取函数，本章将继续延申这个话题，并依次实现通用版GetUserModuleBaseAddress()取远程进程中指定模块的基址和GetModuleExportAddress()取远程进程中特定模块中的函数地址，此类功能也是各类安全工具中常用的代码片段。
最近看了《加密与解密》，跟着大佬们的思路学习了Hook相关知识，如理解有误请不吝赐教，以免误导他人
1.全局句柄表中只存储进程和线程对象,把PID/CID当作索引在全局句柄表中查找对应对象结构.
在驱动层（ring0）里执行应用层（ring3）代码，这是个老生常谈的技术，而且方法也挺多。
C++中整数的基本数据类型有三种, int long short. 在 VC6.0中,int long所占内存都是4字节. short两个字节. 以16进制为例 int long 分别就是4个字节. short两个字节. 一个字节是8位.
本章将探索内核级DLL模块注入实现原理，DLL模块注入在应用层中通常会使用CreateRemoteThread直接开启远程线程执行即可，驱动级别的注入有多种实现原理，而其中最简单的一种实现方式则是通过劫持EIP的方式实现，其实现原理可总结为，挂起目标进程，停止目标进程EIP的变换，在目标进程开启空间，并把相关的指令机器码和数据拷贝到里面去，然后直接修改目标进程EIP使其强行跳转到我们拷贝进去的相关机器码位置，执行相关代码后，然后再次跳转回来执行原始指令集。
C++ 指针学习起来有点难，但是很重要。一些 C++ 程序使用指针更容易执行，另外其他 C++ 程序，例如动态内存分配，没有指针就无法执行。
开篇导读 “养成良好的编程习惯”其实是相当综合的一个命题，可以从多个角度、维度和层次进行论述和评判。如代码的风格、效率和可读性；模块设计的灵活 性、可扩展性和耦合度等等。要试图把所有方面都阐述清楚必须花很多的精力，而且也不一定能阐述得全面。因此，本系列文章以软件开发的基础问题为切入点，阐 述程序设计和代码编写方面的细节问题，以点带面，旨在激发大家的思考与总结，希望能为大家带来实际的帮助。 虽然本系列文章定位为科普读物，但本座相信它们不但适合新手们学习借鉴，同时也能引发老鸟们的反思与
1.数组名的意义 i.sizeof(数组名），这里的数组名表示整个数组，计算的是整个数组的大小
我们先来看第一个例子，先创建一一维数组，然后第三行代码将创建一个指针ptr，指向变量a后面的内存位置。它通过使用 &a 获取变量a的地址，然后将其强制转换为 int* 类型指针。接下来，+1 操作将指针指向下一个 int 类型的内存位置。
在笔者上一篇文章《驱动开发：内核枚举IoTimer定时器》中我们通过IoInitializeTimer这个API函数为跳板，向下扫描特征码获取到了IopTimerQueueHead也就是IO定时器的队列头，本章学习的枚举DPC定时器依然使用特征码扫描，唯一不同的是在新版系统中DPC是被异或加密的，想要找到正确的地址，只是需要在找到DPC表头时进行解密操作即可。
传统的通过patch内存AmsiScanBuffer,这个网上有很多文章，而且相对也比较简单，这里就不再解释了，但是patch这个动作势必会有一定的敏感性，比如你需要修改关键位置内存属性。本文要讲的是无需patch的方式绕过amsi。
上一篇探讨了空指针解引用漏洞的利用，这里来探讨另一种漏洞，未初始化栈变量漏洞，未初始化变量本身是没啥事的，但如果这个变量结构里存储了会拿出来执行的东西（回调函数啥的），那就是另一回事了
在本文中，我们将研究几种快速简洁的单行解决方案，以解决 JavaScript 中经常出现的各种问题。
Adds a user-mode asynchronous procedure call (APC) object to the APC queue of the specified thread.
1.在 Ring3 的代码调用了 sysenter 指令之后，CPU 会做出如下的操作：
在32位windows上只能看到最大3GB的内存空间，而且每个应用程序只能访问4GB的的内存，这个限制是windows独有的，为了使程序能够访问大于4GB的内存空间，需要使用AWE编程接口，同时需要开启PAE，让系统支持大于3GB的内存，开启PAE最大能支持128GB的内存。
0 * 20 + 0 * 21 + 1 * 22 + 1 * 23 + 0 * 24 + 1 * 25 + 1 * 26 + 0 * 27 = 100
反反调试 HandleCount清0 PointCount清0 Name替换 HandleTableEntry清0
当一个进程被保护的时候 比如无法获取其进程句柄权限 (OpenProcess) 或者无法获取内存读写访问权限的时候，则可以使用此方法来进行提权。
在这段代码当中我们声明了一个int型的指针，并且将它指向了2333。然而，这里有一个问题，我们在声明指针的时候并没有进行初始化。没有初始化的指针并不为空，而是指向一个未知的地方。如果说它指向的是一个常量1200的地址，我们让它等于2333，那么之后当我们使用1200这个常量的时候，得到的结果都是2333。
注册创建进程回调使用函数 PsSetCreateProcessNotifyRoutine，调用这个函数会将注册的信息保存到一个数组里面。
最近发现有很多漏洞利用或木马程序样本会通过一些技术手段，达到使自动化检测系统或分析人员调试工具的栈回溯机制失效的目的。在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。
在笔者上一篇文章《驱动开发：内核特征码搜索函数封装》中为了定位特征的方便我们封装实现了一个可以传入数组实现的SearchSpecialCode定位函数，该定位函数其实还不能算的上简单，本章LyShark将对特征码定位进行简化，让定位变得更简单，并运用定位代码实现扫描内核PE的.text代码段，并从代码段中得到某个特征所在内存位置。
AWE (Address Windows Extension) 可以使用开启 PAE 后普通应用程序无法使用到的内存，这部分内存系统可能无法识别，但通过 AWE 则可以完美访问。操作 AWE 内存的具体步骤如下，大部分内容来自北风网视频教程。 1、开窗 VirtualAlloc + MEM_PHYSICAL，明确告知系统，这段保留的空间未来将存放我自己申请的物理内存。 2、分配物理内存 AllocateUserPhysicalPages，按页面个数来分配，不是按字节分配的，最少一个页面 4K 的物理内存。 3、将申请好的物理内存映射到窗口中（相当于提交）MapUserPhysicalPages。 4、对已经提交的内存读写… 5、释放物理内存页面。
上一篇我们介绍了CreateRemoteThread+LoadLibrary进行注入的技巧。但是这种方法实在是太过格式化，所以几乎所有的安全软件都会监控这种方法。所以HarmanySecurity的Stephen Fewer提出了ReflectiveDLL Injection，也就是反射DLL注入。
在某些场景下，需要把程序绑定到指定CPU核心提高执行效率。通过微软官方文档查询到Windows提供了两个Win32函数：SetThreadAffinityMask和SetProcessAffinityMask 为指定线程和进程设置处理器关联掩码。通俗的讲就是在指定的CPU核心上执行线程或者进程。
minhook是一个inline Hook的库，同时支持x32和x64系统，并且是开源的，地址在这里https://www.codeproject.com/Articles/44326/MinHook-The-Minimalistic-x-x-API-Hooking-Libra。下面就简单的分析一下它的工作过程。
最近在做加密算法的研究和使用，经常会用到byte数组和十六进制字符串的转换。之前对于此类问题我一般都是使用BigInteger这个类转换一下算了，这样为了看输出不是乱码。这其实都不是根本上的解决方案。
在上一篇文章《驱动开发：内核中实现Dump进程转储》中我们实现了ARK工具的转存功能，本篇文章继续以内存为出发点介绍VAD结构，该结构的全程是Virtual Address Descriptor即虚拟地址描述符，VAD是一个AVL自平衡二叉树，树的每一个节点代表一段虚拟地址空间。程序中的代码段，数据段，堆段都会各种占用一个或多个VAD节点，由一个MMVAD结构完整描述。
在笔者上一篇文章《内核RIP劫持实现DLL注入》介绍了通过劫持RIP指针控制程序执行流实现插入DLL的目的，本章将继续探索全新的注入方式，通过NtCreateThreadEx这个内核函数实现注入DLL的目的，需要注意的是该函数在微软系统中未被导出使用时需要首先得到该函数的入口地址，NtCreateThreadEx函数最终会调用ZwCreateThread，本章在寻找函数的方式上有所不同，前一章通过内存定位的方法得到所需地址，本章则是通过解析导出表实现。
生活中最常见的进制是十进制，而有一类编程题会要求将十进制转换为其他进制，本篇博客将主要讲述C语言中常见的几类进制转换问题。
最近的一些文章都可能会很碎，写到哪里是哪里，过一阵子会具体的整理一遍，这里其它的类型题先往后排一排，因为蓝桥最后考的也就是对题目逻辑的理解能力，也就是dp分析能力了，所以就主要目标定在这里，最近的题目会很散，很多，基本上都是网罗全网的一些dp练习题进行二次训练，准备比赛的学生底子薄的先不建议看啊，当然，脑子快的例外，可以直接跳过之前的一切直接来看即可，只需要你在高中的时候数学成绩还可以那就没啥问题，其实，dp就是规律总结，我们只需要推导出对应题目的数学规律就可以直接操作，可能是一维数组，也可能是二维数组，总体来看二维数组的较多，但是如果能降为的话建议降为，因为如果降为起来你看看时间复杂度就知道咋回事了，那么在这里祝大家能无序的各种看明白，争取能帮助到大家。
摘要： 本文旨在准备明年2023的蓝桥杯竞赛，培养个人Java语法素养和手感。 希望可以帮助到一起备赛的小伙伴们。题目来自蓝桥杯刷题网
例如以下这句话：“张三是一名程序员，今年15岁重50.3kg，他的代号是‘A’，他家的经纬度是(N30,E134)。”，这句话就是一个字符串，使用双引号括起来。而15则表示是一个 整数类型，50.3就是小数类型，不过我们在C# 中通常称为 浮点类型，最后一个经纬度，我们通常定位地点的时候都是成对出现，所以我们认为这二者是一个密不可分的结构，这种类型我们称为 结构体类型(struct)。
“长安链·ChainMaker”智能合约的开发需要经过选择开发语言、开发工具、编写合逻辑代码、编译合约、部署合约和调用合约几个过程，长安链提供了整套合约开发过程推荐的工具，如下图所示：
内核进程线程和模块是操作系统内核中非常重要的概念。它们是操作系统的核心部分，用于管理系统资源和处理系统请求。在驱动安全开发中，理解内核进程线程和模块的概念对于编写安全的内核驱动程序至关重要。
八进制转换成十进制: 这里我就直接上示例了: 十进制48转换位八进制的表示： 计算过程 结果 余数 48/8 6 0 结果为60，这里需要特别注意的是，千万不要受二进制的影响，非要得到结果为1，这里不可能为1，因为进制基数变成了8，所以，48/8得出的结果是6，已经比进制基数8更小了，就没有再计算下去的必要(因为再计算下去就是6/8，结果是0了)，于是从结果6开始，倒序排列各步骤的余数，得到的结果就是60(10进制转换成8进制的时候，一旦得到的结果比8更小，则说明是最后一步了)。 十进制360转换为八进制表示: 计算过程 结果 余数 360/8 45 0 45/8 5 5 结果5比进制基数8小，所以结果就是550。 十六进制转换为十进制: 十进制48转换位十六进制的表示： 计算过程 结果 余数 48/16 3 0 十六进制与8进制一样，只要得到的结果比进制基数更小，则停止运算，所以结果是30。 十进制100转换位十六进制的表示： 计算过程 结果 余数 101/16 6 5 结果为:65。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
