在学习Win32 创建进程的时候.我们发现了有一个进程信息结构体. STARTUPINFO. 这个结构体可以实现反调试.
STARTUPINFO 结构体，可以用来指定新进程的主窗口外观风格、背景颜色、标题等信息，也可以用来实现反调试技术。通常情况下，我们可以将STARTUPINFO结构体中的dwFlags成员设置为STARTF_DEBUGONLYTHISPROCESS，以防止调试器附加到当前进程。设置了STARTF_DEBUGONLYTHISPROCESS后，如果尝试通过调试器附加到该进程，则调试器将直接失败并退出。
要求做一个图形界面的应用程序，输入命令行的命令，在后台调用CMD程序执行该命令但不显示DOS命令行窗口,而且能实时显示运行的结果。哪位知道怎么处理？谢啦
程序逆向的时候.我们需要知道程序入口点.动态分析的时候以便于看是什么程序编写的. 比如VC++6.0 我们可以写一个程序测试一下 我们写一段代码. F10进行调试.看看是谁调用的main即可. 部分代码拷贝如下:
下载NC https://eternallybored.org/misc/netcat/
上面主进程读取的字节数如下：共，2834行，与理想的166帧166行相差甚远，每帧560*320*3=537600也和下面的不一样。
好久不见。距离上次写gh0st来有好久了，一是期末考试，忙不开，二是后来电脑坏了，几天没能上网。
管 道（Pipe）实际是用于进程间通信的一段共享内存，创建管道的进程称为管道服务器，连接到一个管道的进程为管道客户机。一个进程在向管道写入数据后，另 一进程就可以从管道的另一端将其读取出来。匿名管道（Anonymous Pipes）是在父进程和子进程间单向传输数据的一种未命名的管道，只能在本地计算机中使用，而不可用于网络间的通信。
WSASocket无管道反向CMD，与无管道正向CMD相反，这种方式是在远程主机上创建一个TCP套接字，并绑定到一个本地地址和端口上。然后在本地主机上，使用WSASocket函数连接到远程主机的套接字，并将标准输入、输出和错误输出重定向到套接字的句柄上。这样，本地主机就可以通过网络连接到远程主机的套接字，发送CMD命令并获取命令输出结果。这种方式称为无管道反向CMD，因为CMD进程的输入输出是通过套接字而非管道进行的。
在本地，用父进程创建一个cmd.exe子进程，这个子进程的输入输出被重定向到两条匿名管道，从而实现与父进程通信。父进程输入命令到一条管道，子进程读取后执行并输出到另一条管道，父进程读取后输出到窗口。 此版本源代码借鉴并修改、优化了前人的创作，详见：https://blog.csdn.net/aq782645210/article/details/16370409 中的评论
* 网站名称：obaby@mars * 网址：https://h4ck.org.cn/ * 本文标题： 《C/C++/Delphi 调用命令并且显示执行结果》 * 本文链接：https://h4ck.org.cn/2011/11/cdelphi-execute-cmd-commands-and-get-result/ * 转载文章请标明文章来源，原文标题以及原文链接。请遵从 《署名-非商业性使用-相同方式共享 2.5 中国大陆 (CC BY-NC-SA 2.5 CN) 》许可协议。
他说mainCRTStartup是入口，那mainCRTStartup又是被谁调用的呢？
本章笔者将通过Windows平台下自带的调试API接口实现对特定进程的动态转存功能，首先简单介绍一下关于调试事件的相关信息，调试事件的建立需要依赖于DEBUG_EVENT这个特有的数据结构，该结构用于向调试器报告调试事件。当一个程序发生异常事件或者被调试器附加时，就会产生对应的DEBUG_EVENT调试事件，通常DEBUG_EVENT包含了多种调试类型，包括异常事件、进程创建事件、线程创建事件、进程退出事件和线程退出事件等等，我们只需要动态捕捉这些调试事件并作相应的处理即可实现更多有用的功能。
大家好，又见面了，我是你们的朋友全栈君。 管道（Pipe）实际是用于进程间通信的一段共享内存，创建管道的进程称为管道服务器，连接到一个管道的进程为管道客户机。一个进程在向管道写入数据后，另一进程就可以从管道的另一端将其读取出来。匿名管道（Anonymous Pipes）是在父进程和子进程间单向传输数据的一种未命名的管道，只能在本地计算机中使用，而不可用于网络间的通信。 匿名管道实施细则 匿名管道由CreatePipe（）函数创建，该函数在创建匿名管道的同时返回两个句柄：管道读句柄和管道写句柄。CreatePipe（）的函数原型为： BOOL CreatePipe(PHANDLE hReadPipe, // 指向读句柄的指针 PHANDLE hWritePipe, // 指向写句柄的指针 LPSECURITY_ATTRIBUTES lpPipeAttributes, // 指向安全属性的指针 DWORD nSize // 管道大小 ); 通过hReadPipe和hWritePipe所指向的句柄可分别以只读、只写的方式去访问管道。在使用匿名管道通信时，服务器进程必须将其中的一个句柄传送给客户机进程。句柄的传递多通过继承来完成，服务器进程也允许这些句柄为子进程所继承。除此之外，进程也可以通过诸如DDE或共享内存等形式的进程间通信将句柄发送给与其不相关联的进程。 在调用CreatePipe（）函数时，如果管道服务器将lpPipeAttributes 指向的SECURITY_ATTRIBUTES数据结构的数据成员bInheritHandle设置为TRUE，那么CreatePipe（）创建的管道读、写句柄将会被继承。管道服务器可调用DuplicateHandle（）函数改变管道句柄的继承。管道服务器可以为一个可继承的管道句柄创建一个不可继承的副本或是为一个不可继承的管道句柄创建一个可继承的副本。CreateProcess（）函数还可以使管道服务器有能力决定子进程对其可继承句柄是全部继承还是不继承。 在生成子进程之前，父进程首先调用Win32 API SetStdHandle（）使子进程、父进程可共用标准输入、标准输出和标准错误句柄。当父进程向子进程发送数据时，用SetStdHandle（）将管道的读句柄赋予标准输入句柄；在从子进程接收数据时，则用SetStdHandle（）将管道的写句柄赋予标准输出（或标准错误）句柄。然后，父进程可以调用进程创建函数CreateProcess（）生成子进程。如果父进程要发送数据到子进程，父进程可调用WriteFile（）将数据写入到管道（传递管道写句柄给函数），子进程则调用GetStdHandle（）取得管道的读句柄，将该句柄传入ReadFile（）后从管道读取数据。 如果是父进程从子进程读取数据，那么由子进程调用GetStdHandle（）取得管道的写入句柄，并调用WriteFile（）将数据写入到管道。然后，父进程调用ReadFile（）从管道读取出数据（传递管道读句柄给函数）。 在用WriteFile（）函数向管道写入数据时，只有在向管道写完指定字节的数据后或是在有错误发生时函数才会返回。如管道缓冲已满而数据还没有写完，WriteFile（）将要等到另一进程对管道中数据读取以释放出更多可用空间后才能够返回。管道服务器在调用CreatePipe（）创建管道时以参数nSize对管道的缓冲大小作了设定。 匿名管道并不支持异步读、写操作，这也就意味着不能在匿名管道中使用ReadFileEx（）和WriteFileEx（），而且ReadFile（）和WriteFile（）中的lpOverLapped参数也将被忽略。匿名管道将在读、写句柄都被关闭后退出，也可以在进程中调用CloseHandle（）函数来关闭此句柄 / 匿名管道程序示例 总的来说，匿名管道程序是比较简单的。在下面将要给出的程序示例中，将由父进程（管道服务器）创建一个子进程（管道客户机），子进程回见个其全部的标准输出发送到匿名管道中，父进程再从管道读取数据，一直到子进程关闭管道的写句柄。其中，匿名管道服务器程序的实现清单如下： STARTUPINFO si; PROCESS_INFORMATION pi; char ReadBuf[100]; DWORD ReadNum; HANDLE hRead; // 管道读句柄 HANDLE hWrite; // 管道写句柄 BOOL bRet = CreatePipe(&hRead, &hWrite, NULL, 0); // 创建匿名管道 if (bRet
1.CPU检测到INT 3指令 2.查IDT表找到对应的函数 3.CommonDispatchException 4.KiDispatchException 5.DbgkForwardException收集并发送调试事件
文章首发于奇安信攻防社区：https://forum.butian.net/share/1461
首先来谈谈一个进程的执行流程。每个应用程序都有个主函数，在WINDOWS下，只支持两种类型的应用程序——CUI（控制台应用程序）和GUI（图形界面应用程序），相应的，其主函数类型不同。来看下这几个入口函数
作者：浪子花梦，一个有趣的程序员 ~ . Win32API 相关文章如下： Win32利用CreateEvent 实现简单的 —— 线程同步 Win32消息处理机制与窗口制作 Win32远程线程注入 .dll 文件 Win32删除目录下的所有文件 —— 递归遍历 （一）Win32服务程序编写 —— 使用SC命令创建与删除 （二）Win32服务程序编写 —— 使用命令行参数创建与删除 Win32使用快照、psapi.dll、wtsapi32.dll、ntdll.dll 四种方式实现 —— 枚举进程 （一）Win32进程通信 —— 自定义消息实现 （二）Win32进程通信 —— 内存映射文件 （三）Win32进程通信 —— 数据复制消息 （四）Win32进程通信 —— 剪贴板的使用 （五）Win32进程通信 —— 匿名管道 （六）Win32进程通信 —— 邮槽的使用
最近接手一个小项目，要求使用谷歌的aapt.exe获取apk软件包中的信息。依稀记得去年年中时，有个同事也问过我如何获取被调用进程的输出结果，当时还研究了一番，只是没有做整理。今天花点时间，将该方法整理成文。（转载请指明出于breaksoftware的csdn博客）
反调试技术，恶意代码会用它识别自身是否被调试，或者让调试器失效，给反病毒工程师们制造麻烦，拉长提取特征码的时间线，本章将具体总结常见的反调试基础的实现原理以及如何过掉这些反调试手段，从而让我们能够继续分析恶意代码。
This topic has been deleted. Only users with topic management privileges can see it.
熟练掌握Win32 API函数的参数传递,是软件逆向的基础,本章节内容将使用MASM汇编器,逐个编译这些源程序,你可以通过使用一些调试工具,这里推荐OllyDBG来附加编译后的可执行文件,进行逐个分析,观察二进制程序逆向后的一些变化,总结吸收经验,为以后的二进制逆向,漏洞挖掘打基础.
1.大家都知道Android中的程序反编译比较简单，辛苦开发出一个APK轻易被人反编译了，所以现在就有很多APK加固的第三方平台，比如爱加密和梆梆加固等。
A pipe is a section of shared memory that processes use for communication. The process that creates a pipe is the pipe server. A process that connects to a pipe is a pipe client. One process writes information to the pipe, then the other process reads the information from the pipe. This overview describes how to create, manage, and use pipes.
Netbios #include <windows.h> #pragma comment(lib, "Netapi32.lib") namespace { bool GetAdapterInfo(int adapterNum, std::string& macOUT) { NCB Ncb; memset(&Ncb, 0, sizeof(Ncb)); Ncb.ncb_command = NCBRESET; // 重置网卡，以便我们可以查询 Ncb.ncb_lana_num = adapterNum
ShellExecute ShellExecute的功能是运行一个外部程序（或者是打开一个已注册的文件、打开一个目录、打印一个文件等等），并对外部程序有一定的控制。
C/C++ 要实现程序反调试有多种方法，BeingDebugged，NtGlobalFlag，ProcessHeap，CheckRemoteDebuggerPresent，STARTUPINFO，IsDebuggerPresent，父进程检测，TLS 线程局部存储，RDTSC时钟检测反调试，MapFileAndCheckSum，等都可实现反调试，这里我分别编写了一些案例，基本上一锅端了。
反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地延长恶意代码的分析时间。为了阻止调试器的分析，当恶意代码意识到自己被调试时，它们可能改变正常的执行路径或者修改自身程序让自己崩溃，从而增加调试时间和复杂度。很多种反调试技术可以达到反调试效果。这里介绍当前常用的几种反调试技术，同时也会介绍一些逃避反调试的技巧。 一.探测Windows调试器 恶意代码会使用多种技术探测调试器调试它的痕迹，其中包括使用Windows API、手动检测调试器人工痕迹的内存结构，查询调试器遗留在系统中的痕迹等。调试器探测是恶意代码最常用的反调试技术。 1.使用Windows API 使用Windows API函数检测调试器是否存在是最简单的反调试技术。Windows操作系统中提供了这样一些API，应用程序可以通过调用这些API，来检测自己是否正在被调试。这些API中有些是专门用来检测调试器的存在的，而另外一些API是出于其他目的而设计的，但也可以被改造用来探测调试器的存在。其中很小部分API函数没有在微软官方文档显示。通常，防止恶意代码使用API进行反调试的最简单的办法是在恶意代码运行期间修改恶意代码，使其不能调用探测调试器的API函数，或者修改这些API函数的返回值，确保恶意代码执行合适的路径。与这些方法相比，较复杂的做法是挂钩这些函数，如使用rootkit技术。 1.1IsDebuggerPresent IsDebuggerPresent查询进程环境块(PEB)中的IsDebugged标志。如果进程没有运行在调试器环境中，函数返回0；如果调试附加了进程，函数返回一个非零值。
4.1.C语言中的宽字符 1、常用函数 char wchar_ t //多字节字符类型 宽字符类型 printf wprintf //打印到控制台函数 strlen wcslen //获取长度 strcpy wcscpy //字符串复制 strcat wcscat //字符串拼接 strcmp wcscmp //字符串比较 strstr wcsstr //字符串查找 2、打印宽字符 #include <locale.h> setlocale(LC_ALL,") /
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
