一、环境准备关于汇编ide,最开始笔者使用的是vs的内联汇编来调试。后面发现它非常的不方便,只能支持masm,而笔者要写是nasm。最后在github上找到了SASM。下载的时候选择SASMSetup...
内核实现x86QQ防截屏
本文为看雪论坛优秀文章看雪论坛作者ID:breeze911防截屏需要hook一个函数NtGdiBitBlt, 实现代码在附件里。//本来我以为要hook两个函数呢,还有个NtGdiStretchBlt...
KernelCallbackTable注入方法的修改方案
背景知识众所周知,xp以后的系统,ring3进ring0的方法是通过系统快速调用也就是sysenter/sysexit或syscall/sysret实现的,而与之类似的,NT 4.0开始,微软将之前纯...
红蓝对抗必备的基础技能:PEB&PPID欺骗(二)
一、前言前文链接:红蓝对抗必备的基础技能:PEB&PPID欺骗(一) 在上一篇文章中,我们介绍了一些在C#中需要了解的基本概念,其中触及了一些比较...
红蓝对抗必备的基础技能:PEB&PPID欺骗(一)
一、前言 PEB欺骗和父进程欺骗常在一些渗透的场景中应用,这系列的文章主要是让大家了解如何进行 PPID spoofing(父进程欺骗)和 PEB欺骗,并...
CobaltStrike ShellCode详解
本文为看雪论坛优秀文章看雪论坛作者ID:mb_wiyiprvz一前言CobaltStrike大家应该知道,最近刚好遇上了一个CS的分段的Beacon样本,详细分析了下ShellCode,看它Shell...
从 data 段中加载 PE Executable —— 2022-蓝帽杯-Reverse-Loader Writeup
点击蓝字 / 关注我们Brief这题名为 Loader,其本质也是从 .data 段中加载了程序的主要逻辑并运行,使用了无文件 PE 文件加载的相关技术。因为这道题没加反调试等 c...
从 data 段中加载 PE Executable —— 2022-蓝帽杯-Reverse-Loader Writeup
Brief 这题名为 Loader,其本质也是从 .data 段中加载了程序的主要逻辑并运行,使用了无文件 PE 文件加载的相关技术。 因为这道题没加反调试等 check,所以比赛时我只是略扫了一下 ...
ASM编写简单的Windows Shellcode思路总结
shellcode 是什么?shellcode-wiki“代码也好数据也好只要是与位置无关的二进制就都是shellcode。”为了写出位置无关的代码,需要注意以下几点:不能对字符串使用直接偏移,必须将...
识别和分析 shellcode的一些方法
五一期间,分析那个木马的过程中(见上一篇,它其中的是InInitializationOrderModuleList,见下图)就碰到了通过PEB_LDR_DATA链的InMe...
记一次新型变种QakBot木马分析
本文为看雪论坛优秀文章看雪论坛作者ID:blck四1背景年初单位邮箱收到了一篇钓鱼邮件还有一个附件xlsb的文档,将宏命令提取出来,发现会从远程下载一个文件下载后将文件上传到杀毒网开始查杀,51...
免杀技巧之API动态调用技术
什么是动态加载?简单的来说就是自己找到LoadLibary以及GetProcAddress函数来自行加载函数以及dll。通常在shellcode编写中使用。前置知识了解在RING3下FS寄存器指向TE...
3