Win64bit提权0day漏洞（CVE-2014-4113）漏洞 攻击者经常利用已知的权限提升漏洞获得管理员级别的访问，而黑客直接利用0day漏洞进行攻击是非常罕见的。近日CrowdStrike团队（CrowdStrike Falcon Host Endpoint Threat Detection & Response）监测到了Win64bit2008 R2计算机上存在可疑的活动。CrowdStrike认为：这些计算机极有可能受到飓风熊猫（HURRICANE PANDA）的控制。详情点我 技术分析 Win
这篇文章翻译自一篇多年之前的论文，原文作者是 Tarjei Mandt。原文系统地描述了 win32k 的用户模式回调机制以及相关的原理和思想，可以作为学习 win32k 漏洞挖掘的典范。早前曾经研读过，近期又翻出来整理了一下翻译，在这里发出来做个记录。原文链接在文后可见。
本章主要介绍下基于内核模式构造的线程同步方式，事件，信号量。 阅读目录: 理论 WaitHandle AutoResetEvent ManualResetEvent 总结 理论 Windows的线程同步方式可分为2种，用户模式构造和内核模式构造。 内核模式构造：是由Windows系统本身使用，内核对象进行调度协助的。内核对象是系统地址空间中的一个内存块，由系统创建维护。 内核对象为内核所拥有，而不为进程所拥有，所以不同进程可以访问同一个内核对象, 如进程，线程，作业，事件，文件，信号量，互斥量
server2016系统在RS3t机型上存在初始化慢的问题，比如server2022和server2019在RS3t上开机事件ID12、6005耗时是30秒以内的话，server2016基本上是超过1.5分钟的，甚至更长时间
当今的作弊行为主要是使用内部Directx挂钩或窗口覆盖图来可视化隐藏的游戏信息。这两种方法已被广泛记录，但其他更不起眼的方法包括在Windows内核中挂接图形例程，正如我们将在本文中演示的那样。没有公开发布使用与此类似的方法，这很可惜，因为与普通的Directx钩子相比，它实际上非常易于使用并且几乎没有痕迹。
本文探讨Windows 10 S（下称Win10S）中的Device Guard（设备保护，下称DG）。我将提取策略，并弄清楚在默认Win10S系统上可以和不可以运行什么。我将在下一篇文章中介绍在不安装任何额外软件（如Office）或升级到Windows 10 Pro的情况下实现任意代码执行的一些方法。 Win10S是第一个向消费者发布的通过DG预先锁定的Windows操作系统。DG是基于WindowsVista中引入的内核模式代码完整性（KMCI）和Windows 8 RT中引入的用户模式代码完整性（UM
Windows系统内置了许多本地用户组，这些用户组本身都已经被赋予一些权限(permissions),它们具有管理本地计算机或访问本地资源的权限。只要用户账户加入到这些本地组内，这回用户账户也将具备该组所拥有的权限。
当服务器的并发TCP连接数以十万计时，我们就会对一个TCP连接在操作系统内核上消耗的内存多少感兴趣。socket编程方法提供了SO_SNDBUF、SO_RCVBUF这样的接口来设置连接的读写缓存，linux上还提供了以下系统级的配置来整体设置服务器上的TCP内存使用，但这些配置看名字却有些互相冲突、概念模糊的感觉，如下（sysctl -a命令可以查看这些配置）：
在两年前的今天我发表过一篇同名文章，基于个人在工作中的经验总结，写了一份对Windows平台构造稳定统一无打扰的应用程序推荐清单，两年后的今天，有的软件由免费转为收费，有的因为不适当言论被指责，也有的被更好的所替代，而其中最大的争议竟是来自360为首的国产软件推荐；今天就让我们对这份清单进行梳理重置，在现今的使用环境下，推荐更适用当前环境的软件。
当服务器的并发TCP连接数以十万计时，我们就会对一个TCP连接在操作系统内核上消耗的内存多少感兴趣。socket编程方法提供了SO_SNDBUF、SO_RCVBUF这样的接口来设置连接的读写缓存，linux上还提供了以下系统级的配置来整体设置服务器上的TCP内存使用，但这些配置看名字却有些互相冲突、概念模糊的感觉，如下（sysctl -a命令可以查看这些配置）： net.ipv4.tcp_rmem = 8192 87380 16777216 net.ipv4.tcp_wmem = 8192 65536
所有Windows内核黑客（从初学者到专业人士）都知道，设置和管理用于内核调试的虚拟机可能很耗时。Vagrant是一个免费的开源工具，可以自动创建和自动化VM。这篇文章将向您介绍Vagrant，以及如何利用其功能自动执行我们的内核调试设置。
这个问题 flannel 和 calico 的 VXLAN 模式下都会发生，部分人的集群的A记录 UDP 下查询可能有问题。原因是 v1.17+ 的 kubernetes 某部分会引起内核的某个 UDP 相关的 BUG 而不是 CNI 的软件层面， WEAVE 没有这个问题，原因后面会说到。
接下来打算花点时间去初探Ring0漏洞利用的世界，看看内核的世界，这里基于实验环境HEVD进行学习实验，主要内容是Ring0下的各种类型的漏洞的示例，以及针对各种漏洞的利用方法，基于最新的HEVD3.0进行实验，目录如下：
那么，这种驱动模型带来什么变化呢？ 首先基于COM思想，引入接口机制，可以把相关联的函数分门别类进行组织，使得驱动代码清晰明了；其次，运行在RING3的驱动，大幅度降低了驱动程序在稳 定性和安全性上面的风险，UMDF驱动崩溃不会导致bugcheck（蓝屏），并且UMDF驱动的宿主进程是在受限的用户身份下运行的，不是受信任的系统内核模块。可以在UMDF里面使用Win32 API。 运行于RING3的UMDF对于程序员开说至少带来两个额外好处：
Microsoft Windows是美国微软（Microsoft）公司发布的一系列操作系统。win32k.sys是Windows子系统的内核部分，是一个内核模式设备驱动程序，它包含有窗口管理器、后台控制窗口和屏幕输出管理等。
auditpol：列出注册表HKLMSECURITYPolicyPolAdtEv的审计策略信息
前置了解： what AFD is and what is does? AFD （Ancillary Function Driver）是Windows操作系统中的一个内核模式驱动程序，它也是套接字（
之前 2011 年的时候有款 Windows Hotkey Explorer 工具，windows7 64 位使用还行，如果使用 windows10、或者是 windows7 32 位的，会把所有快捷键都按一遍，有比较严重的兼容性问题。 目前的这款 OpenArk 可以对 win10 完美的兼容。 工具获取地址： 小蓝枣的csdn资源仓库
我们知道，当今主流的x86/x64 Intel处理器默认都使用了保护模式，不同于8086时代的实模式机制，保护模式和分页机制实现了内核层与用户层隔离，进程间执行环境隔离。
该文章讲述了Windows内核模式下的令牌(Token)和进程(Process)之间的关系。Token是Windows内核中的一个重要概念，代表一个特权级别的对象。它代表了系统的某个部分，比如一个线程、一个进程或一个I/O操作。Token在Windows系统中非常常见，是处理用户态和内核态之间权限问题的关键。在Windows系统中，进程之间的通信需要使用Token。在创建新进程时，可以通过复制父进程的Token来创建新进程的Token，这样可以保证新进程的安全性。同时，文章还讨论了Token与进程之间的关系，以及Token在Windows系统中的重要性。
前一阵子买了个新的笔记本电脑，幻13-3050TI-1T版本，全能本，CPU是8核心16线程的标压版AMD锐龙9-5900HS，显卡是NVIDIA-3050TI，重量和macbook差不多，都是1.4kg，便携、可以改变形态。
在开始之前，首先简要介绍一下本文的主题，这篇文章是关于将内核模块加载到操作系统内核的方法的介绍。所谓“内核模块”，指的便是通常所说的驱动程序。不过因为加载到内核的程序通常是用一来操作硬件的，所以驱动程序的名字要更常见些。在以下的叙述中，我将主要使用“驱动程序”这个词。众所周知，Windows操作系统将程序划分为用户模式和内核模式，在x86计算机上，用户模式的程序运行在Ring3，而内核模式的程序运行在Ring0。运行在Rin g3级别上的程序有诸多限制，这方面的例子是不胜枚举的。对于用户模式程序，主 要使
在微软公司的windows平台下，有众多的编程语言和编程模式，比如windows SDK、C/C++、MFC、VB、Win32汇编等，哪种是最合适你的呢？小编认为，这取决于你的工作场景和情况，编程语言和模式本身并没有好坏之分，只有恰当与否。 如果你平时工作并不需要常常编写程序，只是偶尔做一些小工具来完成琐碎、重复、耗时的工作，那么VB是最适合你的编程语言了。VB编程学习简单，很容易上手，可以较快的编写出一些简单程序和工具，如果再深入一点，同样可以很方便快捷的编写出功能强大程序。比如几条语句就可实现一
其实这是一个之前的漏洞，只是当时编译了一下POC在渗透中利用，并没有写出来=-=。 这次就把POC和测试过程发送出来。据说以前有个作死的舍友安装win2008，在同一个局域网。嗯，蓝屏的，好喝的。 00x1 漏洞原理 首先介绍下HTTP.SYS：HTTP.SYS是微软从IIS6.0开始，为了在Windows平台上优化IIS服务器性能而引入的一个内核模式驱动程序。它为IIS及其他需要运用HTTP协议的微软服务器功能提供HTTP请求的接收与响应、快速缓存、提高性能、日志等功能服务。 更多关于HTTP.SYS的信
grep 是一款非常流行的文本搜索工具，它根据正则表达式对文本进行搜索，并输出匹配的行或文本。
Unfairgame是一家在线游戏作弊提供商，专门为竞技游戏销售游戏作弊。这些游戏包括《彩虹六号：围攻》、《守望先锋》、《 铁锈》(https://en.wikipedia.org/wiki/Rust_(video_game%29)、《逃离塔科夫》和《Valorant》。这个作弊提供者已经存在近两年了，并且轻松赚取了超过 10 万美元的利润。一直以来，他们都通过构建不良的作弊加载系统向用户出售公开可用的代码。
SSDT 的全称是 System Services Descriptor Table，系统服务描述符表。这个表就是一个把 Ring3 的 Win32 API 和 Ring0 的内核 API 联系起来。SSDT 并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基地址、服务函数个数等。通过修改此表的函数地址可以对常用 Windows 函数及 API 进行 Hook，从而实现对一些关心的系统动作进行过滤、监控的目的。一些 HIPS、防毒软件、系统监控、注册表监控软件往往会采用此接口来实现自己的监控模块。
浏览器是指可以显示网页服务器或者文件系统的HTML文件（标准通用标记语言的一个应用）的内容，并让用户与这些文件交互的一种软件。它用来显示在万维网或局域网等内的文字、图像及其他信息。这些文字或图像，可以是连接其他网址的超链接，用户可迅速及轻易地浏览各种信息。大部分网页为HTML格式。
KVM 全称是 Kernel-Based Virtual Machine。也就是说 KVM 是基于 Linux 内核实现的。 KVM有一个内核模块叫 kvm.ko，只用于管理虚拟 CPU 和内存。
PsExec属于SysInternalSuite （一个windows的内核的套件），是其中一个工具
近期，Google和荷兰国家数学和计算机中心（Centrum Wiskunde & Informatica，CWI）的研究人员完成了针对第一例SHA-1的碰撞攻击，创造了两个hash值完全相同但内容截然不同的文件。然而，在真实的信息安全世界中，这种攻击又会怎样对个人和组织机构造成何种威胁呢？ 对SHA-1算法不安全的担心由来已早。在2015年荷兰国家数学和计算中心和新加坡南洋理工大学研究员联合发表的论文中，描述了SHA-1碰撞攻击的各种理论性可能。同时，在RSA 2016的密码学家研讨会上，该篇论文得
关于“下“的内容却迟迟没有动手，其中也有诸多事情干扰，也可以认为是借口，但我自己其实也是还没有想清楚该如何去说这个事。
PXE(Pre-boot Execution Environment)是由Intel设计的协议，它可以使计算机通过网络启动。协议分为client和server两端，PXE client在网卡的ROM中，当计算机引导时，BIOS把PXE client调入内存执行，并显示出命令菜单，经用户选择后，PXE client将放置在远端的操作系统通过网络下载到本地运行。 PXE协议的成功运行需要解决以下两个问题： 既然是通过网络传输，那么计算机在启动时，它的IP地址由谁来配置； 通过什么协议下载Linux内核和根文件系统 对于第一个问题，可以通过DHCP Server解决，由DHCP server来给PXE client分配一个IP地址，DHCP Server是用来给DHCP Client动态分配IP地址的协议，不过由于这里是给PXE Client分配IP地址，所以在配置DHCP Server时，需要增加相应的PXE特有配置。 至于第二个问题，在PXE client所在的ROM中，已经存在了TFTP Client。PXE Client使用TFTP Client，通过TFTP协议到TFTP Server上下载所需的文件。 这样，PXE协议运行的条件就具备了，下面我们就来看看PXE协议的工作过程。 工作过程 在上图中，PXE client是需要安装Linux的计算机，TFTP Server和DHCP Server运行在另外一台Linux Server上。Bootstrap文件、配置文件、Linux内核以及Linux根文件系统都放置在Linux Server上TFTP服务器的根目录下。 PXE client在工作过程中，需要三个二进制文件：bootstrap、Linux 内核和Linux根文件系统。Bootstrap文件是可执行程序，它向用户提供简单的控制界面，并根据用户的选择，下载合适的Linux内核以及Linux根文件系统。 步骤 有了前面的背景知识，接下来就可以正式操作了，下面按照顺序给出了操作步骤： 配置DHCP Server 选用ISC dhcp-3.0，DHCP Server的配置文件是/etc/dhcpd.conf，配置文件的内容如下：
好了，前面两篇铺垫了一些内容，这周终于进行这个话题的核心内容了，就是对于跨平台桌面来说，Electron与WebView2这两个非常类似的技术方案究竟哪个更合适？
在前段时间检查异常连接导致的内存泄漏排查的过程中，主要涉及到了windows异步I/O相关的知识，看了许多包括重叠I/O、完成端口、IRP、设备驱动程序等Windows下I/O相关的知识，虽然学习到了很多东西，但是仍然需要自顶而下的将所有知识进行梳理。
作者：浪子花梦，一个有趣的程序员 ~ . Win32API 相关文章如下： Win32利用CreateEvent 实现简单的 —— 线程同步 Win32消息处理机制与窗口制作 Win32远程线程注入 .dll 文件 Win32删除目录下的所有文件 —— 递归遍历 （一）Win32服务程序编写 —— 使用SC命令创建与删除 （二）Win32服务程序编写 —— 使用命令行参数创建与删除 Win32使用快照、psapi.dll、wtsapi32.dll、ntdll.dll 四种方式实现 —— 枚举进程 （一）Win32进程通信 —— 自定义消息实现 （二）Win32进程通信 —— 内存映射文件 （三）Win32进程通信 —— 数据复制消息 （四）Win32进程通信 —— 剪贴板的使用 （五）Win32进程通信 —— 匿名管道 （六）Win32进程通信 —— 邮槽的使用
安装Hyper-V服务其实也不是一个简单的事情，尤其是当你的系统是win10家庭版的时候，需要多走点流程，但是也很简单：
微软近日对外披露了两个0day漏洞详情，其中一个漏洞存在Adobe阅读器中，可被利用导致任意代码执行；另一个漏洞则允许任意代码在Windows kernel内存中提权执行。
如果你是一个初学者，了解了那么多网络传输协议以后，一定非常好奇，如何才能真实的看到网络传输过程中发送了什么样的数据呢？
1引言 目前对于诸如USB鼠标、键盘等这样的计算机标准外设，Windows系统已经提供了标准的驱动程序，用户无需再进行任何开发工作。而开发专用USB设备，需要开发专用的驱动程序。 Windows2000/XP操作系统不允许用户程序直接访问硬件设备。为了实现对硬件设备的访问和控制，必须通过操作系统所认可的驱动程序对硬件设备实现间接访问和控制。驱动程序通常被认为是操作系统的组成部分，所以，开发驱动程序有严格的规范，被认为是“计算机高手”的工作。而利用DDK进行基于WDM（Win32 Driver Model）驱动程序开发，使驱动程序的开发变成了一项比较简单的工作。 2 Win32驱动程序模型 USB设备驱动程序必须符合由Microsoft为Windows 98及其后版本所定义的Win32驱动程序模型（Win32 Driver Model，WDM）规格。这些驱动程序称为WDM驱动程序，扩展名为.sys。 WDM定义了一个基本模型，处理所有类型的数据。例如，USB类驱动程序为所有USB 设备提供了一个抽象的模型，并具有由所有客户驱动程序使用的定义好的接口。有了对所有设备类型共同的核心驱动程序模型，使驱动程序开发人员更容易从一种类型的设备移动到另外一种类型的设备上去。而且它也意味着驱动程序模型的内核实现尽可能是固定的。 USB是使用标准Windows系统USB类驱动程序访问USBDI（Windows USB驱动程序接口）的USB设备驱动程序。USBD.sys就是Windows系统中的USB类驱动程序，它使用UHCD.sys来访问通用的主控制器接口设备，或者使用OpenHCI.sys访问开放式主控制器接口设备。USBHUB.sys是根集线器和外部集线器的USB驱动程序。在PCI枚举器发现了USB主控制器之后，它会自动装入相关的驱动程序。 3 Windows USB驱动程序接口 大多数客户化的USB设备需要由用户来编写设备驱动程序，以响应内核态或用户应用程序的请求。在内核级，命令由客户驱动程序使用内部IOCTL发送给USB系统，例如IOCTL-INTERNAL-USB-SUBMIT-URB允许发出USB请求块（URB）给系统USB驱动程序。URB允许发出几个功能调用给USB系统。用户态USB实用程序也可以发出几个普通IOCTL给USB设备，目的仅仅是得到连接设备的信息。 3.1函数驱动程序 函数驱动程序（function driver）让应用程序与USB设备，通过API函数来沟通。这些API函数属于Windows的Win32子系统，Win32子系统同时也管理着执行应用程序。函数驱动程序与较低级的总线驱动程序沟通，总线驱动程序控制着硬件。 图1是应用程序与各个驱动程序，如何一起完成USB通信的结构图。当设备或子类别的要求超过类别驱动程序的能力时，会有辅助的过滤器驱动程序来类别驱动程序的能力。一个上层的过滤驱动程序位于类别驱动程序的上方。这样，从客户应用程序传来的要求，会先经过上层的过滤驱动程序，然后才传给类别函数驱动程序。一个下层的过滤驱动程序位于类别驱动程序和总线驱动程序之间，如图1。类别驱动程序会将要求传给下层的过滤驱动程序，然后再传给总线驱动程序。 图１应用程序与驱动程序完成USB通信的结构 通用串行总线驱动程序（USBD.SYS）是USB系统中负责管理通用串行总线的工作，位于主机上的一个软件。USBD负责控制所有的USB协议操作和高层的中断处理控制。在Windows98及以上版本中，Microsoft定义了一个新的设备驱动程序模型，称之为Windows设备驱动程序模型（WindowsDriver Model或WDM）。 USB客户应用程序也是一种设备驱动程序，通过定义的一个称之为USB接口的层间接口来访问其下方的USB软件。应用程序正是通过这些USB客户软件来实现与USB设备之间的通信。 针对USB客户应用程序的开发，相应版本的Windows操作系统的设备驱动程序开发包（Device Driver Developer’s Kit,即DDK）给出了相应的USB接口函数。并提供了对于这些函数具体使用的参考文档。 3.2 USBDI的IOCTL 为了编写USB设备驱动程序，通常还要在源代码中包含DDK所提供的几个头文件。这些头文件在Windows98下存放在/98DDK/inc/win98目录中，在Windows 2000下存放在/NTDDK/inc/win2000目录中。这些头文件的用途可以总结如下： usb100.h 定义了在USB设备驱动程序设计中所要用到的各种常量和数据结构。 Usbdi.h USBDI例程，其中包括对USBD和USB设备驱动程序通用的数据结构，适用于内核和用户模式。 Usbdlib.h URB构造和各种例程，定义了USBD所输出的服务，适用于内核和用户模式。 Usbioctl.h 给出了对IOC
在Linux上做网络应用的性能优化时，一般都会对TCP相关的内核参数进行调节，特别是和缓冲、队列有关的参数。网上搜到的文章会告诉你需要修改哪些参数，但我们经常是知其然而不知其所以然，每次照抄过来后，可能很快就忘记或混淆了它们的含义。本文尝试总结TCP队列缓冲相关的内核参数，从协议栈的角度梳理它们，希望可以更容易的理解和记忆。注意，本文内容均来源于参考文档，没有去读相关的内核源码做验证，不能保证内容严谨正确。作为Java程序员没读过内核源码是硬伤。
-多年互联网运维工作经验，曾负责过大规模集群架构自动化运维管理工作。 -擅长Web集群架构与自动化运维，曾负责国内某大型金融公司运维工作。 -devops项目经理兼DBA。 -开发过一套自动化运维平台（功能如下）： 1)整合了各个公有云API，自主创建云主机。 2)ELK自动化收集日志功能。 3)Saltstack自动化运维统一配置管理工具。 4)Git、Jenkins自动化代码上线及自动化测试平台。 5)堡垒机，连接Linux、Windows平台及日志审计。 6)SQL执行及审批流程。 7)慢查询日志分析web界面。
64位内核第一讲,和32位内核的区别 双击调试配置请查看 连接: https://www.cnblogs.com/aliflycoris/p/5877323.html 一丶编译的区
前言 在实际生产环境中，有时候我们会碰到为几十上百甚至上千台服务器安装Linux操作系统的需求，如果我们还是常规的去使用移动介质逐台安装，显然是一件 低效又令人抓狂的事情，那要安装到何年何月啊？这对于我们追求高逼格形象的技术人员来讲当然是不可以接受的，为此，pxe模式批量部署系统应运而生。 原理 我 们知道，当我们使用其它引导介质（例如硬盘、软盘、U盘、CD或者DVD）安装操作系统时，是加载其首个扇区中MBR（主引导目录）中的引导程序并利用其 查找各自介质中的必需数据来完成的。而pxe则是通过自
最近决定在win10的基础上装一个ubuntu系统用来管理服务器。但是有一个问题，前段时间U盘不慎丢失，没有启动盘，又想装ubuntu双系统，该怎么办呢？基于以前装黑苹果的经历，决定用EasyBCD做引导的方式，试了试还可以，过程如下。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
