背景就简单点儿说，当初一个项目 C# 编写，涉及浮点运算，来龙去脉省去，直接看如下代码。（为什么有这个问题产生，是因为当初线上产生了很诡异的问题，和本地调试效果不一致。）
因为现在的项目使用的是 AnyCpu 在 x86 的设备使用的是x86，在x64使用的是x64，但是对于非托管代码，必须要在x64使用x64的dll，在x86使用x86的dll。在C++没有和C#一样的 AnyCpu 所以需要在项目运行在x86的时候加载x86的dll。 本文告诉大家如何在代码引用不同的dll。
最近因为工作需要，客户那边工程师使用的是JAVA语言开发的程序，我们这边平台中是用C#语言开发的，因为有些操作必须统一，所以我在网上查找解决方法，自己也实践过，在这里做个笔记吧，分享一下。
今天为大家介绍一款基于.NET Core运行时实现的Windows HOOK库，CoreHook。
本文整理自小迪师傅近期课程以及本人实验时所踩的一些坑和思路。文章由浅入深，可以让你从免杀小白到免杀入门者，能够绕过火绒和360等国内主流安全软件，成功上线msf。本人也是刚接触免杀，若有说得不对的地方，欢迎大佬们及时提出指正。关于本人在实验过程中所踩的一些坑会在文中提醒大家，让大家尽量少入坑。
1.传参方式 首先说明一下,在X64下,是寄存器传参. 前4个参数分别是 rcx rdx r8 r9进行传参.多余的通过栈传参.从右向左入栈. 2.申请参数预留空间 在x64下,在调用一个函数的时候,会申请一个参数预留空间.用来保存我们的参数.比如以前我们通过push压栈 参数的值.相应的栈就会抬高.其实x64下,一样会申请.只不过这个地方在进函数的时候并没有值.进入函数之后才会将寄存器的值在拷贝到这个栈中.其实就相当于你还是push了.只不过我是外边申请空间,内部进行赋值.
在 C# 中的对象大概可以分为三个不同的类型，包括值类型、引用类型和其他类型。本文主要讨论的是引用类型对内存空间的占用情况。在讨论开始之前我想问问大家，一个空的对象会占用多少内存空间？当然这个问题本身就有问题，因为没有区分栈空间与堆空间的内存空间。其实小伙伴会发现这不是一个好回答的问题，因为似乎没有一个可以认为标准的标准答案。请让我为你详细聊聊对象的内存布局
记得之前看一篇 APT 组织的报告时偶然间看到过 IIS 模块后门然后在网上找了找了资料，想自己开发一款然后开发到一半因为一些事情就停止了很久，这次清理项目文件的时候又有想了起来就打算重新用 C# 继续写出来。
导语 | 在任意一门编程语言中，函数调用基本上都是非常常见的操作；我们都知道，函数是由调用栈实现的，不同的函数调用会切换上下文；但是，你是否好奇，对于一个函数调用而言，其底层到底是如何实现的呢？本文讲解了函数调用的底层逻辑实现。 一、汇编概述 既然要讲解函数调用的底层逻辑实现，那么汇编语言我们是绕不过的。 因此，首先来复习一下汇编相关的知识。 我们都知道，计算机只能读懂二进制指令，而汇编就是一组特定的字符，汇编的每一条语句都直接对应CPU的二进制指令，比如：mov rax，rdx就是我们常见的汇编指令。
*本文原创作者：BoA，本文属FreeBuf原创奖励计划，未经许可禁止转载 在刚刚发布的微软11月份安全更新中，比较幸运刷了两个Edge的脚本引擎漏洞，对微软的脚本引擎漏洞有一定的见解，所以打算写篇
声明：本文由【MS509 Team】成员expsky原创，仅用于技术交流分享，禁止将相关技术应用到不当途径。 整理电脑的时候找到自已以前分析的一个鬼影病毒的资料，当时兼容市面上主要的windows系统（XP, win7,包含x86和x64系统）样本来自国外，有不少亮点，当时花了不少时间把所有原理分析出来并重新用汇编和C++实现了出来。 以前的一些资料简单整理了下，分享出来，也给自己以前的工作留个记录。 该木马样本通过感染MBR达到早于系统得到执行。整个样本以非文件形式存在，直接写人磁盘扇区。包括感染的MBR
其实对于单纯的 x86(ring3)->x86(ring0)，和 x64(ring3)->x64(ring0) 没甚么好说的，就是普通的栈信息。
左边是一段C语言程序，右边是对应的汇编语言，这对于咱们学习逆向、二进制安全的同学来说简直不要太方便了！
Cobalt Strike 的Payload基于 Meterpreter shellcode，例如 API 哈希（x86和x64版本）或http/https Payload中使用的url checksum8 算法等等。
很久以前我写过三篇关于如何编写Windows shellcode（x86 - 32位）的详细博客文章。文章初学者友好，包含很多细节。第一部分解释什么是shellcode，哪些是它的局限性，第二部分解释了PEB（进程环境块），PE（可移植可执行文件）文件格式和ASM（汇编程序）的基础知识，第三部分说明了Windows shellcode如何实际实现。这篇博客文
在看java原子类时里有很多方法都调用了Unsafe类方法，Unsafe类方法在jdk里没找到源码，然后下载open jdk找到了源码，在/src/share/classes/sun/misc 目录下。定义如下：
我相信大家都被一条信息给炸了锅“cobaltstrike4.0破解版出来了”，这对于我们这些穷逼来说是一件好事，今天我就带大家看看cs4.0更新了啥
在有一些时候，如使用持续集成的时候就不能通过 VisualStudio 的方式编译 UWP 程序，需要使用命令行的方式编译。
Emgu CV 是.NET平台下对OpenCV图像处理库的封装。也就是OpenCV的.NET版。它运行在.NET兼容的编程语言下调用OpenCV的函数，如C#、VB、VC++等。同时这个封装库可以在Mono下编译和在Linux / Mac OS X上运行。Emgu Cv的优势在于.net非常完美的界面，给用户操作带来非常直观的感觉。Emgu Cv每个版本都有修改一部分函数，在兼容旧版本下做的不是很好。本书主要采用VS2013+EmguCv3.0版本，希望读者也采用相同的版本进行学习，从而避免一些版本兼容上的问题。在国内并不流行Emgu Cv，因此关于Emgu Cv的资料比较少，从而导致了新手学习起来比较费劲，同时使更多想去学习Emgu Cv的人放弃学习，这样的一个恶性循环。
在某些场景下，我们需要进行一些特殊优化，因此我们可能需要用到golang汇编，golang汇编源于plan9，此方面的 介绍很多，就不进行展开了。我们WHY和HOW开始讲起。
既然本系列讲的是基于汇编的 C/C++ 协程，那么这篇文章我们就来讲讲使用汇编来进行上下文切换的原理。
作者：灵剑 链接：https://www.zhihu.com/question/47514375/answer/106347643 来源：知乎 著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
要拿适用于自己进程的 Program Files 文件夹很简单，无脑拿就好了。不过，如果涉及到拿其他程序的，那么就会涉及到与其他程序不同架构时路径不同的问题。
尊敬的火绒用户，由于微软宣布将停止支持SHA-1签署的数字签名证书，这将导致所有使用此类证书的软件无法正常使用，其中也包括火绒安全软件。为了避免对用户造成影响，微软官方表示需要用户通过安装相关Windows补丁解决，还请相关用户在此类证书失效前（4月16日）安装补丁，具体操作方法如下。
EternalBlue suite在C/C++中重新构建，其中包括：MS17-010漏洞、EternalBlue/MS17-010漏洞检测器、DoublePulsar检测器以及DoublePulsarUploadDLL和Shellcode上传工具。
CefSharp，简单来说就是一款.Net编写的浏览器包，方便你在Winform和WPF中内嵌的Chrome浏览器组件。它支持HTML5。 CefSharp的功能比较复杂，以下只介绍一些我觉得比较重要的并且目前经常用的功能。
32位的应用程序可以完美再64位的电脑上运行，而32位的内核驱动无法再64位的电脑上运行，或者64位的驱动无法在32位的应用程序上运行。这是为什么呢。
2、指向数组元素的指针 支持 递增 递减 运算。（实质上所有指针都支持递增递减 运算 ，但只有在数组中使用才是有意义的）
距离上一篇文章《那些FastJson漏洞不为人知的事情（开发角度）》已经过去三天了，但在我的心中仿佛过了一年。这三天是我在分析Cobaltstrike源码的一个过程，阅尽代码冷暖，但我依然要说一句Cobaltstrike牛逼~
1、x86架构 x86架构是intel开发的一种32位的指令集。8个32位通用寄存器 eax,ebx,ecx,edx,ebp,esp,esi,edi。
最近做的一个项目，是一个油田三维可视化监控的场景编辑和监控的系统，和三维组态有些类似，不过主要用于油田上。 效果如下图所示：
xor异或加密shellcode后，申请内存执行，和文开头执行shell从的方式无区别
在现代计算机系统中，X86和ARM64是两种常见的处理器架构。为了满足不同架构的需求，Docker镜像也需要支持双架构编包形式。本文将介绍Docker镜像双架构编包统一的实践
之前在栈溢出漏洞的利用和缓解中介绍了栈溢出漏洞和一些常见的漏洞缓解 技术的原理和绕过方法, 不过当时主要针对32位程序(ELF32). 秉承着能用就不改的态度, IPv4还依然是互联网的主导, 更何况应用程序. 所以理解32位环境也是有必要的. 不过, 现在毕竟已经是2018年了, 64位程序也逐渐成为主流, 尤其是在Linux环境中. 因此本篇就来说说64位下的利用与32位下的利用和缓解绕过方法有何异同.
sqlps.exe是SQL Server附带的一个具有Microsoft签名的二进制文件，用于加载SQL Server cmdlet，Microsoft Visual C#开发，可用ILSpy反编译查看源代码。
作者: 付汉杰 hankf@xilinx.com hankf@amd.com 硬件设计工作由季茂林（maolinj@xilinx.com）完成。
.NET 有着悠久的历史，在通过 JIT 编译器本质理解的 API 提供对额外硬件功能的访问。这始于 2014 年的 .NET Framework，并在 2019 年引入 .NET Core 3.0 时得到扩展。从那时起，运行时在每个版本中都迭代地提供了更多的 API 并更好地利用了这些 API。
自己还是想把一些shellcode免杀的技巧通过白话文、傻瓜式的文章把技巧讲清楚。希望更多和我一样web狗也能动手做到免杀的实现。
最新版下载地址：https://github.com/gentilkiwi/mimikatz/releases/download/2.1.1-20180205/mimikatz_trunk.zip
前言 判断VC是否安装有两种方式 通过软件的GUID判断，这种方式比较准确，但需要知道程序的GUID，推荐使用。 通过注册表中卸载程序的名称判断，这种方式并不太可靠。 下载地址 https://le
（1）如果安装了VMware Tools，则使用CreateToolhelp32Snapshot、Process32Next扫描进程列表，查看是否有VMwareService.exe、VMwareTray.exe和VMwareUser.exe （2）查看网卡地址是否以00:0C:29开头，或查看其它硬件版本 （3）探测内存痕迹，搜索含有VMware的字符串 （4）Red Pill反虚拟机技术->漏洞指令sidt，根据返回的idtr值不同，在多核处理器上无效 （5）No Pill技术->漏洞指令sldt，主机系统上的LDTR值为0，虚拟机中不为0 （6）查看查询I/O通信端口，监视in指令，第二个操作数为VX （7）查看str指令，主机和虚拟机中返回值不一样，str指令用来从任务寄存器中检索段选择子
该宏的参数中，x为3，name为_write，...代表的__VA_ARGS__为unsigned int, fd, const char __user *, buf, size_t, count。
Capstone是一个轻量级的多平台多架构支持的反汇编框架。支持包括ARM，ARM64，MIPS和x86/x64平台。今天1.0版本正式向公众开放下载，可以在http://www.capstone-e
fsi.exe、fsianycpu.exe是FSharp解释器，这些具有Microsoft签名的二进制文件包含在Visual Studio中，可用于在命令行下直接执行FSharp脚本（.fsx 或.fsscript）。Fsi.exe在64位的环境中执行，Fsianycpu.exe则使用“机器体系结构来确定是作为32位还是64位进程运行”。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
