procedure setlength(p1,p2,p3,p4); begin VarArgStart(VAList); DynArraySetLength(A, TypeInfo, DimCnt, PNativeInt(VAList)); end; procedure DynArraySetLength(A, TypeInfo, DimCnt, PNativeInt(VAList)); begin p := a; newLength := lengthVec^; if newLength <= 0 th
加壳的原理就是加密或者压缩程序中的已有资源，然后当程序执行后外壳将模拟PE加载器对EXE中的区块进行动态装入，下面我们来自己实现一个简单的区块加解密程序，来让大家学习了解一下壳的基本运作原理。
接触安全已经一年多了，在实习工作中跟进项目的时候，以前我的弱项也逐步暴露出来，并越发明显，我不懂免杀与工具开发，钓鱼、下马的工作无法顺利进行，几乎就是面向google的渗透测试工程。
代码加密功能的实现原理，首先通过创建一个新的.hack区段，并对该区段进行初始化，接着我们向此区段内写入一段具有动态解密功能的ShellCode汇编指令集，并将程序入口地址修正为ShellCode地址位置处，当解密功能被运行后则可释放加密的.text节，此时再通过一个JMP指令跳转到原始OEP位置，则可继续执行解密后的区段。
分享一下我老师大神的人工智能教程！零基础，通俗易懂！http://blog.csdn.net/jiangjunshow
EAT（Export Address Table）用于修改动态链接库（DLL）中导出函数的调用。与IAT Hook不同，EAT Hook是在DLL自身中进行钩子操作，而不是修改应用程序的导入表。它的原理是通过修改DLL的导出函数地址，将原本要导出的函数指向另一个自定义的函数。这样，在应用程序调用DLL的导出函数时，实际上会执行自定义的函数。
继续学习《逆向工程核心原理》，本篇笔记是第四部分：API钩取，主要介绍了调试钩取、DLL注入实现IAT钩取、API代码修改钩取和全局API钩取等内容
https://github.com/gongluck/Windows-Core-Program.git
Windows 反恶意软件扫描接口 (AMSI) 是微软推出一种通用接口标准，允许的应用程序和服务与机器上存在的任何毒软件进行调用。AMSI 为的最终用户及其数据、应用程序和工作负载提供增强的恶意软件保护。
7z 自解压功能，实际是将三个文件连接在一起，第一个文件是 7z 的自解压模块（实际是一个通用的包含了界面界面的应用程序）+ config.txt（配置文件）+ 实际要解压的 7z 压缩包文件。三个文件通过 Windows 的 copy 命令拼接在一起，你也可以自己实现代码，将三个文件拼接在一起，因为第一个文件的首地址 PE 结构不变，所以当程序运行时相当于运行了 7z 的自解压模块。他们的组成如下图：
娜璋AI安全之家于2020年8月18日开通，将专注于Python和安全技术，主要分享Web渗透、系统安全、CVE复现、威胁情报分析、人工智能、大数据分析、恶意代码检测等文章。真心想把自己近十年的所学所做所感分享出来，与大家一起进步。
本文针对的是Windows操作系统中常用的防破0解及防逆向工程保护技术，即反调试方法，各种防逆向工程技术的主要目标是尽可能多的使逆变工具尽可能失效。
最近复习了下 syscall，关于 syscall 的原理这里不会做太多的叙述，有很多文章说得很清楚了，这里主要记录下对几个开源 syscall 项目的学习。
写完上面的代码后，直接运行它进行代码注入，然后目标进程没有报错退出了。VC 默认使用 Debug 版编译，我就换 Release 版编译后，进行代码注入，想要的功能实现了，目标进程没有报错，没有退出。
Ring 3层的 IAT HOOK 和 EAT HOOK 其原理是通过替换IAT表中函数的原始地址从而实现Hook的，与普通的 InlineHook 不太一样 IAT Hook 需要充分理解PE文件的结构才能完成 Hook，接下来将具体分析 IAT Hook 的实现原理，并编写一个DLL注入文件，实现 IAT Hook 。
本文基于上一篇文章 FFmpeg + OpenSLES 实现音频解码播放 ，利用 FFmpeg 对一个 Mp4 文件的音频流进行解码，然后将解码后的 PCM 音频数据进行重采样，最后利用 OpenSLES 进行播放的同时，将 PCM 音频一个通道的数据实时渲染成柱状图。
本文基于上一篇文章 FFmpeg + OpenSLES 实现音频解码播放 ，利用 FFmpeg 对一个 Mp4 文件的音频流进行解码，然后将解码后的 PCM 音频数据进行重采样。
上一篇推送中，为大家介绍了几种图像处理算法总结的方法，在本次推送中，二白继续为大家介绍余下的方法。
您可能之前看到过我写的类似文章，为什么还要重复撰写呢？只是想更好地帮助初学者了解病毒逆向分析和系统安全，更加成体系且不破坏之前的系列。因此，我重新开设了这个专栏，准备系统整理和深入学习系统安全、逆向分析和恶意代码检测，“系统安全”系列文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。换专业确实挺难的，逆向分析也是块硬骨头，但我也试试，看看自己未来四年究竟能将它学到什么程度，漫漫长征路，偏向虎山行。享受过程，一起加油~
首先声明一下，标题所指的钩子是消息钩子，而不是API钩子（一种对API地址的替换技术）。若标题使您误解，请不要继续阅读。 消息钩子在Windows编程中有着非常广泛的应用，它可以任意拦截Windows系统，这个以消息为驱动的系统中的绝大多数消息类型。一方面这给编程者带来了巨大的灵活性，另一方面也埋下了巨大隐患，大多数窃密软件都使用这种方法。此篇文章给您提供一种钩子的反拦截方法，希望对您有所帮助。文章中使用了API钩子，您之前必须对此技术有一定了解。 为求完整，文章分为两部分，第一部分为消息钩子的使用，熟悉此技术的读者可以直接跳过此节。第二部分为消息钩子的反拦截。 一、消息钩子的使用。 消息钩子分为本地（local）和远程（remote）两种（两个local system-wide hook例外，无关主题，不多说了）。local类型的钩子函数只能拦截本进程的消息。能够拦截本进程以外的消息的钩子，都是remote类型。remote类型的钩子必须放在DLL里面。下面以remote类型为例，通过安装键盘钩子介绍其使用。 1、首先建立DLL，在头文件中添加如下代码。 #ifdef KM_EXPORTS #define KM_API __declspec(dllexport) #else #define KM_API __declspec(dllimport) #endif KM_API BOOL HookStart();//安装钩子 KM_API BOOL HookStop();//卸载钩子 2、在.cpp文件中添加代码 #pragma data_seg(“Shared”) HHOOK g_hhookKey=NULL; #pragma data_seg() #pragma comment(linker,”/SECTION:Shared,RWS”) g_hhookKey为键盘钩子的句柄，为确保此数值在所有实例中均保持不变，将其存放于此模块所有实例的共享数据区，若在exe程序中按此格式添加一int 变量 appNum，在程序启动时appNum++，则可以通过访问此变量的数值，确定有多少个exe的实例，当然这种方法也可以替代同步对象用于只启动一个实例。 HINSTANCE g_hinstDll=NULL; //添加全局变量用于记录此DLL模块的句柄 BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved ) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: g_hinstDll=(HINSTANCE)hModule;//在DLL加载时对全局变量赋值 ……………… } } LRESULT KeyHookProc(int nCode,WPARAM wParam,LPARAM lParam)//键盘钩子的过滤函数 { ………………… return::CallNextHookEx(g_hhookKey,nCode,wParam,lParam);//*****请留意此行代码***** } BOOL HookStart()//安装钩子 { g_hhookKey=::SetWindowsHookEx(WH_KEYBOARD,(HOOKPROC)KeyHookProc,g_hinstDll, ::GetWindowThreadProcessId(::FindWindow(NULL,”被监视的窗口的标题“),NULL) ); return (g_hhookKey!=NULL); } BOOL HookStop()//卸载钩子 { BOOL ret; if(g_hhookKey!=NULL) ret=::UnhookWindowsHookEx(g_hhookKey);
对于嵌入式系统来说，一般都需要一个bootloader来下载和引导操作系统，常用的bootloader有eboot，uboot以及vivi等，对于windowsce来说最理想的bootloader当然是eboot（我也做了利用uboot下载和引导ce，以后我会介绍）。下面我就把自己开发eboot的过程和大家分享。eboot的流程可以如下图所示：
在Windows操作系统中，每个进程的虚拟地址空间都被划分为若干内存块，每个内存块都具有一些属性，如内存大小、保护模式、类型等。这些属性可以通过VirtualQueryEx函数查询得到。
上次说了那么多，基本上就是一个叫“大局观”的东西，只有脑子里有了一个软件的设计、运行思路，才能把一个一个类写出来，组合在一起。
哪怕是类似原理的都用，在利用方式上也总能带来很多新鲜感，每次都有新的长见识，不断的感叹和震撼
/*********************************实现hook OpenProcess实现ring3保护进程、、C++完整代码、、************************************************/ #include <windows.h>
内存管理是操作系统非常重要的部分，处理器每一次的升级都会给内存管理方式带来巨大的变化，向早期的8086cpu的分段式管理，到后来的80x86 系列的32位cpu推出的保护模式和段页式管理。在应用程序中我们无时不刻不在和内存打交道，我们总在不经意间的进行堆内存和栈内存的分配释放，所以内存是我们进行程序设计必不可少的部分。
而对于我们来说.其实就是 针对PE文件的 NT头 节表数据 重定位表 导入表 等进行操作.
Windows使用或定了很多新的数据类型，前面几节中我们已经领略到了。它们虽然多，但是都有规律可循，很多都是对C/C++中数据类型的简单加工，而且很容易“见名知意”。要想学习Windows编程，必须要了解常用的数据类型。 如果你对C语言或者C++的数据类型比较熟悉的话，那么对于一些基础的内容这个过程就是慢慢熟悉的过程。 这些数据类型在windows.h头文件中定义： typedefintINT;/* 整形 */ typedefunsignedintUINT;/* 无符号整形 */ typedefunsign
最近在研究各种姿势的 HOOK，虽然 HOOK 这个东西已经是很久之前就有的技术了，但好在目前应用仍然很广泛，所以老老实实肯大佬们 10 年前啃过的骨头，下面是庄重的代码献祭时刻。
不同的杀软对数字签名的敏感性不同，有些杀软可能只检查一下有没有数字签名就过了，有些杀软可能要去验证一下数字签名的正确性，有些可能管都不管数字签名。只能说添加数字签名能稍微提升一下exe的免杀几率。
作者：池育龙 1. 引言 突然就对项目中的HashMap有了强烈的好奇心，这个HashMap的实现够高效吗，和 std::unordered_map 的效率比较性能如何? 他们的插入效率、查找效率、空
我们继续延申调试事件的话题，实现进程转存功能，进程转储功能是指通过调试API使获得了目标进程控制权的进程，将目标进程的内存中的数据完整地转存到本地磁盘上，对于加壳软件，通常会通过加密、压缩等手段来保护其代码和数据，使其不易被分析。在这种情况下，通过进程转储功能，可以将加壳程序的内存镜像完整地保存到本地，以便进行后续的分析。
Crypto++ (CryptoPP) 是一个用于密码学和加密的 C++ 库。它是一个开源项目，提供了大量的密码学算法和功能，包括对称加密、非对称加密、哈希函数、消息认证码 (MAC)、数字签名等。Crypto++ 的目标是提供高性能和可靠的密码学工具，以满足软件开发中对安全性的需求。
考虑到分配的寻址可预测性，两个 可以在多个测试中进行观察： 1. 两个分配都按 16 页对齐，添加了 0x20 字节的标头 启用整页堆设置（或默认设置为 0x8）。 2. 两种分配的内存地址都是高度可预测的。 事实上，两个分配的地址会因测试而异 'just' 大约 0x1'000'000 字节，这在 0x19'000'000+0x12'000'000 几乎连续受控内存的术语 空间： ; 为便于阅读而编辑的 windbg 脚本日志 ; 通过重新启动应用程序并记录相同的分配产生 ; 显示两
在上篇文章中 《VC 不同版本代码注入的区别》 ，我们想要对目标进程进行代码的注入，由于 Debug 版编译生成的代码和 Release 版编译生成的代码有些不同（Debug 版编译后，调用函数时会有一条 jmp 指令，而 Release 没有），因此，通过 #ifdef 这样的宏来区别 VC 是以 Debug 版方式编译，还是通过 Release 版方式编译，从而编译不同的代码来针对不同的版本进行了处理。代码如下：
根据上面的理论.我们可以根据API. 写简单的串口绑定了. 注意下方代码是串口绑定的代码.相当于我们在这个设备上加了一层.但是我们还没有写获取请求数据的代码.
前言: 首先跟大家说说我对游戏辅助的理解。什么是游戏辅助呢？一是通过修改程序中的数据达到变态功能，比如变态血量，变态射速，飞天遁地；二是通过修改游戏程序代码的执行顺序，实现变态功能。比如jmp掉死亡判定，子弹不减，子弹无后座等等。本篇文章主要以steam中的PixelStrike3D为例实现子弹无限，子弹无后座，子弹连发，以及方框透视。由于笔者的水平有限，其中一些功能可能不是很完善，但主要是提供一种思路，望大佬见谅。
众所周知，windows下可执行文件必须符合一定的格式要求，微软官方称之为PE文件（关于PE文件的详细介绍这里就不赘述了，google一下可以找到大把）；用户在界面双击exe时，有个叫做explorer的进程会监测并接受到这个事件，然后根据注册表中的信息取得文件名，再以Explorer.exe这个文件名调用CreateProcess函数去运行用户双击的exe；PC中用户一般都是这样运行exe的，所以很多用户态的exe都是exlporer的子进程。
目录 遍历进程用户名 代码例子 遍历进程用户名 代码例子 #include <windows.h> #include <iostream> #include <COMDEF.H> #include <stdio.h> #include <Tlhelp32.h> using namespace std; typedef struct _UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer; }
完整教程下载地址：http://forum.armfly.com/forum.php?mod=viewthread&tid=86980 第30章 STM32H7的USART应用之八个串口F
大家好，又见面了，我是你们的朋友全栈君。一、消息钩子的概念 1、基本概念 Windows应用程序是基于消息驱动的，任何线程只要注册窗口类都会有一个消息队列用于接收用户输入的消息和系统消息。为了拦截消息，Windows提出了钩子的概念。钩子（Hook）是Windows消息处理机制中的一个监视点，钩子提供一个回调函数。当在某个程序中安装钩子后，它将监视该程序的消息，在指定消息还没到达窗口之前钩子程序先捕获这个消息。这样就有机会对此消息进行过滤，或者对Windows消息实现监控。 2、分类 消息钩子分为局部钩子和全局钩子。局部钩子是指仅拦截指定一个进程的指定消息，全局钩子将拦截系统中所有进程的指定消息。 3、实现步骤 使用钩子技术拦截消息通常分为如下几个步骤：
近期一个小项目需要获取本机摄像头，声卡的信息，提供配置文件，用作软件配置。然后开始慢慢研究，说一下自己遇到的一些坑。
引言 前面的一篇博文中总结了开发Windows Thumbnail Handler的一些经验。在公司实际项目中，需要同时针对图片和视频实现缩略图。同时还要在图片和视频文件的顶部加上LOGO
领取专属 10元无门槛券
手把手带您无忧上云
