irp | CN-SEC 中文网

安全文章

内核攻防-(2)致盲EDR

项目地址https://github.com/k3lpi3b4nsh33/BlindEdr需求背景在APT攻击中使用驱动致盲EDR(Endpoint Detection and Response)的意...

02月19日30 views评论

阅读全文

安全文章

R0下一种简单的Irp包数据捕获方法

本文提出了一种方法可以在内核层使用“过滤”的方法来捕获Irp数据包。其中可以捕获到进入目标驱动前与目标驱动处理完后的Irp数据包。1Irp现在很多驱动都在使用Irp包的方式来与R3的程序进行通信。Ir...

02月14日11 views评论

阅读全文

应急响应

一次应急响应中的Windows Rootkit对抗

快过年了,已经无心写文章,这几天搬运点存货到公众号上,希望大家不要介意随着github开源项目越来越多,小黑们的技术水平也在越来越提高,这几天,在处理应急响应的时候,我注意到一个开源的被滥用的root...

01月20日30 views评论

阅读全文

安全文章

cve-2024-26229 漏洞分析

原文首发在：奇安信攻防社区https://forum.butian.net/share/3101CSC 漏洞分析前几日，有人在github中放出了CVE-2024-26229的利用脚本，这里我们就借此...

12月15日4 views评论

阅读全文

安全文章

HEVD系列之栈溢出

静态分析分析DriverEntry以及IRP_MJ_DEVICE_CONTROL的派遣函数，得到如下就是DeviceIoControl的派遣函数NTSTATUS __stdcall IrpDevice...

12月05日6 views评论

阅读全文

程序逆向

IDA 技巧(76) 快速重命名

在IDA 7.6中新增的功能之一是反编译器中变量的自动重命名。Image与PIT不同，它不仅限于堆栈变量，还处理存储在寄存器中的变量，不仅是调用，还包括赋值和其他一些表达式。它还尝试解释包含动词（如g...

11月22日15 views评论

阅读全文

制度法规

制定有效的事件响应计划的实用指南

对于企业来说，制定强大的事件响应计划 (IRP)至关重要，以应对当今的网络威胁。本指南将引导您了解如何构建 IRP，它不仅可以响应事件，还可以保护公司免受未来威胁。随着安全事件的增多，制定明确、可行...

11月20日53 views评论

阅读全文

安全新闻

AMD atdcm64a.sys 中任意指针取消引用导致的 LPE 漏洞

目标Radeon 软件修订号 Adrenalin Edition 18.12.1.1 可选解释总共有两个漏洞，发生在AMD Adrenalin Edition的atdcm64a.sys驱动程序中。第一...

11月06日27 views评论

阅读全文

程序逆向

利用CE的DBK驱动获取R0权限

一分析CE7.0的DBK驱动CE的DBK驱动提供了一些很直接的IOCTL接口，包括在分配内核中的非分页内存、执行内核代码、读写任意内存地址、建立mdl映射等，下面展示了DBK驱动通过IOCTL接口提供...

10月18日18 views评论

阅读全文

安全文章

CVE-2011-1249漏洞分析

最近在学习内网渗透，在提权的时间遇到了利用CVE-2011-1249漏洞进行提权，通过在网上找到了POC，通过看源码来分析一下漏洞点。首先正常系统运行cmd程序，通过任务管理器可以看到运行是admin...

09月28日16 views评论

阅读全文

安全漏洞

【PoC】Windows Hyper-V 0day CVE-2024-38080 poc

安全研究员 Pwndorei 发布了针对 Windows Hyper-V 中已修补的零日漏洞（编号为 CVE-2024-38080）的详细分析以及概念验证 (PoC) 漏洞代码。这一严重漏洞已被广泛利...

09月18日732 views评论

阅读全文

安全闲碎

Hypervisor From Scratch - 基本概念和配置测试环境、进入 VMX 操作

一基本概念和配置测试环境1.1.介绍欢迎来到名为“ Hypervisor From Scratch”的多部分系列教程的第一部分。顾名思义，本课程包含创建基于硬件虚拟化的基本虚拟机的技术细节。如果您遵循...

04月15日49 views评论

阅读全文