书接上文 修改golang源代码获取goroutine id实现ThreadLocal。上文实现的版本由于map是多个goroutine共享的，存在竞争，影响了性能，实现思路类似java初期的ThreadLocal，今天我们借鉴现代版java的ThreadLocal来实现。
上面的代码先打印出内存分配前的内存信息，然后分配10000个1MB的内存块，并睡眠1毫秒，以便让垃圾回收机制起作用。最后打印出内存回收后的内存信息。
上面的代码先打印出内存分配前的内存信息，然后分配1GB的内存，再次打印出内存分配后的内存信息，然后将分配的内存置为nil，触发垃圾回收，最后再次打印出内存回收后的内存信息。
#include <windows.h> #include <stdio.h> #include <iostream> using namespace std; #define MEM_BLOCK_SIZE 32 //lpMem需要打印的内存指针 //dwSize大小 BOOL ShowMemContent(LPVOID lpMem,SIZE_T dwSize) { BYTE lpShow[MEM_BLOCK_SIZE]; INT i = 0; if(dwSize >MEM_BLOC
CobaltStrike原生Artifact Kit生成的Artifact几乎已被所有主流杀软查杀，但我们可以用CobaltStrike官方Arsenal Kit免杀套件来替代原生Artifact Kit，目前还有一定免杀效果，过国内杀软问题不大。
了解操作系统对内存的管理机制后，现在可以去看下 Go 语言是如何利用底层的这些特性来优化内存的。Go 的内存管理基本上参考 tcmalloc 来实现的，只是细节上根据自身的需要做了一些小的优化调整。
看了一篇文章，里面涉及到了一些golang程序监控的问题，回过头总结了一下实现方式，简单介绍一下
是为了与Win16兼容才保留的，在Win32下不要使用。 全局内存对象使用GlobalAlloc函数分配,在Windows 3.X的时代，分配的内存可以有两种，全局的和局部的，例如GlobalAlloc和LocalAlloc。但在Win32的时代这些函数已经被废弃了，现在的内存只有一种就是虚存。在Win32中所有的进程所使用的内存区域是相互隔离的，每个进程都拥有自己的地址空间。而且系统使用了页面交换功能，就是利用磁盘空间来模拟RAM，在RAM中数据不使用时将会被交换到磁盘，在需要时将会被重新装入RAM。
向往了多年，终于静下心来备战 IOCP，对于语言方面不缺少什么东西了，剩下的就是对操作系统和编程技巧的学习了，所以慢慢的开始写一些周边会涉及到的代码，也算是对 C/C++ 的复习，本文写的是一个 Windows 下多线程的例子，跟 Linux 下没什么区别，循环创建线程然后用堆上内存传递参数，代码有详细的注释可以参考。
windows堆管理是建立在虚拟内存管理的基础之上的，每个进程都有独立的4GB的虚拟地址空间，其中有2GB的属于用户区，保存的是用户程序的数据和代码，而系统在装载程序时会将这部分内存划分为4个段从低地址到高地址依次为静态存储区，代码段，堆段和栈段，其中堆的生长方向是从低地址到高地址，而栈的生长方向是从高地址到低地址。 程序申请堆内存时，系统会在虚拟内存的基础上分配一段内存，然后记录下来这块的大小和首地址，并且在对应内存块的首尾位置各有相应的数据结构，所以在堆内存上如果发生缓冲区溢出的话，会造成程序崩溃，这部分没有硬件支持，所有管理算法都有开发者自己设计实现。 堆内存管理的函数主要有HeapCreate、HeapAlloc、HeapFree、HeapRealloc、HeapDestroy、HeapWalk、HeapLock、HeapUnLock。下面主要通过一些具体的操作来说明这些函数的用法。
本文介绍的是 easyFTPServer 1.7.0.2 ‘Http’ remote Buffer Overflow 的漏洞执行流程，通过已知的 POC 来推断程序的大概执行流程以及漏洞利用原理。
本文主要说明在Windows下操作文件的高级方法，比如直接读写磁盘，文件的异步操作，而文件普通的读写方式在网上可以找到一大堆资料，在这也就不再进行专门的说明。
之前在WinSock2.0 API 中说到，像DisConnectEx 函数这样，它具有回收SOCKET的功能，而像AcceptEx这样的函数，它不会自己在内部创建新的SOCKET，需要外部传入SOCKET作为传输数据用的SOCEKT，使用这两个函数，我们可以做到，事先创建大量的SOCKET，然后使用AcceptEx函数从创建的SOCKET中选择一个作为连接用的SOCKET，在不用这个SOCKET的时候使用DisConnectEx回收。这样的功能就是一个SOCKET池的功能。
内存泄露带来的问题我想我就不必多少了，检测内存泄露有很多种方法，比如使用一些智能指针。但本文介绍的方法有些不同，我们将自己维护一个数组列表，记录下 new 内存时代码所在的文件、行号、以及大小、和是否已经被 delete 信息，将这些信息放到我们维护的数组中，当程序要检查内存泄露或者程序退出时，我们遍历整个堆内存，并把每一个堆内存块在我们维护的数组中遍历，如果发现某些内存并没有被标记为 delete 状态，那么则判定为泄露。
本文主要讲述windows平台下应用程序性能测试的内存相关的知识，通过本文了解内存基本原理和分析内存占用问题。 一、内存是什么？ 1内存分为物理内存和虚拟内存 物理内存指通过物理内存条而获得的内存空间，虚拟内存是计算机系统内存管理的一种技术。它使得应用程序认为它拥有连续的可用的内存（一个连续完整的地址空间）。 2两者都有系统约定的最大值 进程占用的内存一般是指物理内存，其中操作系统为每个进程的工作集定义了一个最小和最大工作集。每个进程的 工作集有最小工作集（20-50M）最大是45-345M 虚拟内存：每个
操作系统中有些资源是不能由用户代码直接访问的，比如线程进程，文件等等，这些资源必须由系统级代码由RING3层进入到RING0层操作，并且返回一些标识供用户程序使用，一般调用某个函数陷入到内核，这样的函数叫做系统调用，而有些不直接陷入到内核，一般叫做系统API，linux中使用系统调用，而windows中封装了一系列的API。
你是否曾经遇到过这样的情况，在开发环境排查问题，因为一些数据保存在了一些全局变量中，这些变量往往是一个 map 或者是一个数组，想看看在运行过程中，这里面究竟存放了什么数据，有时不得不在运行的时候将它输出到日志中，那么如果我想实时看到这些数据的情况又怎么办呢？
Windows 堆内存是性能仅次于虚拟内存的内存管理机制。它不像虚拟内存，每次分配至少是一个页面（4K），它可以灵活的只分配 1 个字节来使用，不浪费内存的空间。但你分配的内存必须由自己维护释放。下面演示了堆内存的使用方法。
这篇我们看一个”容错“”节省“的实例。一下是一个Win32API的声明（转载请指明出处）
在32位windows上只能看到最大3GB的内存空间，而且每个应用程序只能访问4GB的的内存，这个限制是windows独有的，为了使程序能够访问大于4GB的内存空间，需要使用AWE编程接口，同时需要开启PAE，让系统支持大于3GB的内存，开启PAE最大能支持128GB的内存。
简介 Windows下的堆主要有两种，进程的默认堆和自己创建的私有堆。在程序启动时，系统在刚刚创建的进程虚拟地址空间中创建一个进程的默认堆，而且程序也可以通过 HeapCreate 函数来调用 ntdll 中的RtlCreateHeap 来创建自己的私有堆，所以一个进程中可以存在多个堆。 虽说这两种堆名称不同，但是其本质是相同的，区别的只是返回的句柄不同，私有堆虽然名字是私有，但并不是只能在创建它的线程中使用，如果得到它的句柄，在其他线程中也可使用。 堆的信息 堆的相关信息可以在/PEB(进程环境块)中看到
AWE (Address Windows Extension) 可以使用开启 PAE 后普通应用程序无法使用到的内存，这部分内存系统可能无法识别，但通过 AWE 则可以完美访问。操作 AWE 内存的具体步骤如下，大部分内容来自北风网视频教程。 1、开窗 VirtualAlloc + MEM_PHYSICAL，明确告知系统，这段保留的空间未来将存放我自己申请的物理内存。 2、分配物理内存 AllocateUserPhysicalPages，按页面个数来分配，不是按字节分配的，最少一个页面 4K 的物理内存。 3、将申请好的物理内存映射到窗口中（相当于提交）MapUserPhysicalPages。 4、对已经提交的内存读写… 5、释放物理内存页面。
在一般的设计中，当需要一个线程时，就创建一个，但是当线程过多时可能会影响系统的整体效率，这个性能的下降主要体现在：当线程过多时在线程间来回切换需要花费时间，而频繁的创建和销毁线程也需要花费额外的机器指令，同时在某些时候极少数线程可能就可以处理大量，比如http服务器可能只需要几个线程就可以处理用户发出的http请求，毕竟相对于用户需要长时间来阅读网页来说，CPU只是找到对应位置的页面返回即可。在这种情况下为每个用户连接创建一个线程长时间等待再次处理用户请求肯定是不划算的。为了解决这种问题，提出了线程池的概念，线程池中保存一定数量的 线程，当需要时，由线程池中的某一个线程来调用对应的处理函数。通过控制线程数量从而减少了CPU的线程切换，而且用完的线程还到线程池而不是销毁，下一次再用时直接从池中取，在某种程度上减少了线程创建与销毁的消耗，从而提高效率 在Windows上，使用线程池十分简单，它将线程池做为一个整体，当需要使用池中的线程时，只需要定义对应的回调函数，然后调用API将回调函数进行提交，系统自带的线程池就会自动执行对应的回调函数。从而实现任务的执行，这种方式相对于传统的VC线程来说，程序员不再需要关注线程的创建与销毁，以及线程的调度问题，这些统一由系统完成，只需要将精力集中到逻辑处理的回调函数中来，这样将程序员从繁杂的线程控制中解放出来。同时Windows中线程池一般具有动态调整线程数量的自主行为，它会根据线程中执行任务的工作量来自动调整线程数，即不让大量线程处于闲置状态，也不会因为线程过少而有大量任务处于等待状态。 在windows上主要有四种线程池 1. 普通线程池 2. 同步对象等待线程池 3. 定时器回调线程池 4. 完成端口回调线程池
在开发系统的时候经常需要嵌入外部的程序，比如将企业原有的系统集成到我们的系统中，而且要求看起 来像和我们的程序一样嵌入到我们的系统中，这时就要借助于Win32了。在以前使用VC、Delphi、C#开发的 使用的时候可以直接调用Win32的API来操作，好在SWT中提供了Win32API的封装，而且封装的比较好，大部 分都在org.eclipse.swt.internal.win32.OS这个类中。核心原理就是调用SetParent这个API将我们的程序中的某个控件设置为被嵌套程序的父窗口。
本文是OffenSive Csharp Development的第二篇文章，来将UUID免杀方法转换成C#进行使用。原来的UUID方法源码如下，本质还是api滥用：
在C/C++中内存泄漏是一个不可避免的问题，很多新手甚至有许多老手也会犯这样的错误，下面说明一下在windows平台下如何检测内存泄漏。 在windows平台下内存泄漏检测的原理大致如下。 1. 在分配内存的同时将内存块的信息保存到相应的结构中，标识为已分配 2. 当内存释放时在结构中查找，并将相应的标识设置为已释放 3. 在需要的位置调用HeapWalk，遍历整个堆内存，找到对应的内存块的首地址，并与定义的结构中的数据相匹配，根据结构中的标识判断是否释放，未释放的话给出相应的提示信息。 另外在VS系列的编译器中如果输出的调试信息的格式为：文件名（行号）双击这样的输出信息，会自动跳转到对应的位置，利用这点可以很容易的定位到未释放的内存的位置。 为了实现上述功能，我们使用重载new和delete的方式。下面是具体的代码：
大家好，又见面了，我是你们的朋友全栈君。 利用 AttachThreadInput 和 WM_INPUTLANGCHANGEREQUEST 消息 改变 其它 进程 的 输入 状态 ? 众所周知，通过
#include <windows.h> #include <stdio.h> #include <iostream> using namespace std; //参数1堆句柄，参数2内存地址指针 DWORD PrintHeapSize(HANDLE hHeap,LPVOID lpMem) { SIZE_T dwHeapSize; dwHeapSize = HeapSize(hHeap,HEAP_NO_SERIALIZE,lpMem); if(dwHeapSize == -1)
之前写了关于Winsock的重叠IO模型，按理来说重叠IO模型与之前的模型相比，它的socket即是非阻塞的，也是异步的，它基本上性能非常高，但是它主要的缺点在于，即使我们使用历程来处理完成通知，但是我们知道历程它本身是在对应线程暂停，它借用当前线程的线程环境来执行完成通知，也就是说要执行完成通知就必须暂停当前线程的工作。这对工作线程来说也是一个不必要的性能浪费，这样我们自然就会想到，另外开辟一个线程来执行完成通知，而本来的线程就不需要暂停，而是一直执行它自身的任务。处于这个思想，WinSock提供了一个新的模型——完成端口模型。
正值某大型活动期间，于是水一篇文章，来聊聊最近大家比较喜欢的利用回调函数来进行免杀这个小tips。
为了避免频繁的申请释放内存，使用内存池来管理缓冲区对象和客户上下文对象使用的内存。 使用指针保存所有空闲的内存块，形成空闲列表。 申请内存时，这个指针不为NULL，就从空闲列表中取出一个来使用，如果取完，就真正的申请内存。 1 缓冲区对象 程序使用CIOCPBuffer来描述per-IO数据，包含IO操作的必要信息，提交时，提交的就是CIOCPBuffer对象 下面是申请缓冲区对象代码： CIOCPBuffer *CIOCPServer::A
GetSystemDirectory();//获取系统路径 GetWindowsDirectory();//获取windows路径 GetCurrentDirectory();//获取当前工作文件夹 SetCurrentDirectory();//改动当前工作文件夹 CreateFile/ReadFile/WriteFile/GetFileSize/SetFilePointer //返回文件大小的低32位 DWORD GetFileSize( HANDLE hFile,// handle to file LPDWORD lpFileSizeHigh //输出參数:返回文件大小的高32位 ); //创建文件并写入文本代码演示样例 HANDLE hf=CreateFile(“file.txt”,GENERIC_WRITE,FILE_SHARE_READ,NULL, OPEN_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL); char txt[]=”hello file to write”; DWORD len=0;//返回实际写入的长度 WriteFile(hf,txt,strlen(txt),&len,NULL); CloseHandle(hf); //读代替码演示样例 HANDLE hf=CreateFile(“file.txt”,GENERIC_READ,FILE_SHARE_READ, NULL,OPEN_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL); CHAR txt[1000]={0}; DWORD len=0;//实际读到的长度 ReadFile(hf,txt,sizeof(txt),&len,NULL); printf(“读取到的字符串：%s\n”,txt); CloseHandle(hf);
对于 Golang 应用内存堆栈的监控，基本都是读取 runtime.MemStats，然后发往一些 TSDB 进行可视化展示。代码一般都是这样的：
在Windows中枚举进程中的模块主要是其中加载的dll，在VC上主要有2种方式，一种是解析PE文件中导入表，从导入表中获取它将要静态加载的dll，一种是利用查询进程地址空间中的模块，根据模块的句柄来得到对应的dll，最后再补充一种利用Windows中的NATIVE API获取进程内核空间中的模块,下面根据给出这些方式的具体的代码片段：
CreateThread是一种微软在Windows API中提供了建立新的线程的函数，该函数在主线程的基础上创建一个新线程。线程终止运行后，线程对象仍然在系统中，必须通过CloseHandle函数来关闭该线程对象。
最近学完了简单的socket编程，发现其实socket的网络编程其实并没有什么难度，只是简单的函数调用，记住客户端与服务端的步骤，写起来基本没有什么问题。 在服务器程序的设计中，一个服务器不可能只相应一个客户端的链接，为了响应多个客户端的链接，需要使用多线程的方式，每当有一个客户端连接进来，我们就开辟一个线程，用来处理双方的交互（主要是利用recv或者recvfrom用于收发信息），由于但是在网络中可能出现这样一种情况：由于处理比较复杂，下一条信息到来之后，上一条信息的处理还没有完成，这样信息太多了之后系统的缓冲占满之后可能会发生丢包的现象，所以为了解决这个问题，需要另外再开一个线程，专门用来处理接收到的数据，这样总共至少有3个线程，主线程，收发信息的线程，处理线程；这样可能也不完整，处理的操作种类多了的话可能需要根据不同的请求来开辟不同的线程用来处理这一类请求，下面是实现这一思路的部分代码： 全局变量：
虚拟环境模拟硬件设备并在其描述中留下特定的痕迹 - 可以查询这些痕迹并得出有关非主机操作系统的结论。
在多线程访问临界区的情况下，使用进程互斥可以使多个线程不能同时访问操作关键区的变量，条件竞争漏洞就源于没有对可能会被多个线程访问的变量进行保护，导致多重访问使得在一次操作中，操作的值在中间发生了变化。
在Windows平台上使用C++开发了一个服务，其中组合了各种各样的第三方组件，一般以lib/dll和头文件的形式使用。有这样一种场景，如下图所示，应用程序申请了一段内存ptr, 但在调用lib.dll的函数接口中其调用了free(ptr)。一般来说我们也尽量避免在一个组件中申请内存，而在另一个组件中释放，这里恰巧是一个bug导致了跨组件的内存申请和释放。
CobaltStrike 的 Beacon 生成分为两种，Stage Beacon 和 Stageless Beacon，这次主要来说明的是无阶段的 Stageless Beacon，最终文件比较大，不用从网络中来拉取。
在前面的文章《驱动开发：运用MDL映射实现多次通信》LyShark教大家使用MDL的方式灵活的实现了内核态多次输出结构体的效果，但是此种方法并不推荐大家使用原因很简单首先内核空间比较宝贵，其次内核里面不能分配太大且每次传出的结构体最大不能超过1024个，而最终这些内存由于无法得到更好的释放从而导致坏堆的产生，这样的程序显然是无法在生产环境中使用的，如下LyShark将教大家通过在应用层申请空间来实现同等效果，此类传递方式也是多数ARK反内核工具中最常采用的一种。
在上一篇的博文中，说了下老版本的线程池，在Vista之后，微软重新设计了一套线程池机制，并引入一组新的线程池API，新版线程池相对于老版本的来说，它的可控性更高，它允许程序员自己定义线程池，并规定线程池中的线程数量和其他一些属性。
一个由c/C++编译的程序占用的内存分为以下几个部分 1、栈区（stack）— 由编译器自动分配释放 ，存放函数的参数值，局部变量的值等。其操作方式类似于数据结构中的栈。 2、堆区（heap） — 一般由程序员分配释放， 若程序员不释放，程序结束时可能由OS回收 。注意它与数据结构中的堆是两回事，分配方式倒是类似于链表，呵呵。 3、全局区（静态区）（static）—，全局变量和静态变量的存储是放在一块的，初始化的全局变量和静态变量在一块区域， 未初始化的全局变量和未初始化的静态变量在相邻的另一块区域。- 程序结束后有系统释放 4、文字常量区—常量字符串就是放在这里的。程序结束后由系统释放 5、程序代码区—存放函数体的二进制代码。
本次实验内容是PoolOverflow，IRP分发函数通过跳转表进行跳转，两项之间的控制码相差4，所以本次实验使用的控制码是：0x22200f，漏洞触发代码：
这篇文章本来是要讲 Go Memory Ballast 以及 Go GC Tuner 来调整 GC 的策略，实现原理怎么样，效果如何。但是在写的过程中，发现 Go 1.19版本出了，有个新特性让这两个优化终究成为历史。
通过上一篇文章.我们理解了虚拟内存与物理内存的区别. 那么我们有API事专门申请虚拟内存与物理内存的.
木马是黑客实施网络攻击的常用兵器之一，有些木马可以通过免杀技术的加持躲过杀毒软件的查杀。本文由锦行科技的安全研究团队提供，旨在通过剖析CS木马生成过程以及开发免杀工具，帮助大家更好地理解CS木马的Artifact生成机制。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
