介绍QuasarRAT 是一种开源 RAT(远程访问工具/特洛伊木马)。这些工具是为合法目的而构建的,例如访问远程计算机,例如,系统管理员访问办公室计算机。但是,RAT 软件通常用于在未经客户端许可的...
「基础学习」VA与FOA的转换
VA_IMAGE_SECTION_HEADER.VirtualAddressVirtual Address在内存中的虚拟地址RVA_IMAGE_SECTION_HEADER.VirtualAddres...
免杀主题笔记(3)
新增节-添加代码现在有这么一个场景,如果我们需要添加的shellcode过大的话,那么就不能直接加在节区中了,因为空间可能会不够了。1.首先需要更改的是节的数量。将04改为05。2.复制一个现有的节表...
PE逆向-打印导入表
// 滴水三期3.27导入表.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。//#include <iostream>#include <Windows.h...
逆向-打印重定向表
课后3.25作业,打印所有重定向表:实现代码:// 滴水三期3.25.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。//#include <iostream>#i...
执行方式免杀之动态加载(FUD101连载四)
No.1声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测以及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必...
【技术分享】Hook_IAT实现调包Win32API函数
说明 如何调包Win32API函数?其实就是HookPE文件自己的IAT表。 PE文件在加载到内存后,IAT中存储对应函数名(或函数序号)的地址,所以我们只需要把用作替换的函数地址,覆盖掉IAT中对应...
Windows PE 文件头解析
0x01 PE文件基本介绍 PE文件的全称是Portable Executable,意为可移植的可执行的文件,常见的EXE、DLL、OCX、SYS、COM都是PE文件,PE文件是微软Windows操作...
海莲花glitch样本去混淆
本文为看雪论坛优秀文章看雪论坛作者ID:Tangdouren一去混淆思路奇安信的报告《使用和海莲花相似混淆手法的攻击样本分析》[1]中分析了一个和APT32使用相同混淆方法的样本。本文根据奇安信的报告...
PE文件结构解析2
0x0导读 上一篇文章把Dos头,Nt头,可选头里的一些成员说过了(文章链接:[PE文件结构解析1-SecIN (sec-in.com)]),今天主要讲的内容是,Rva(内存偏移)转换Foa(文件偏移...
PE文件结构解析4
导读 本文主要介绍了导入表相关内容,涉及到C语言中结构体指针和pe文件结构相关知识。 导入表简介 导入表用于记录当前exe或dll需要用到哪些dll和哪些函数,举个例子,去饭店吃饭,通常会有一份菜单,...
PE文件结构解析3
0x0导读 今天的内容是pe文件结构的导出表,和如何使用代码打印出导出表。 0x1环境 编译器:VirsualStudio2022 16进制查看工具:winhex 0x2导出表 0x1导出表是啥 导出...