随笔分类 - 《Visual C++ 编程技术实践》
摘要：LibCurl是一个开源的免费的多协议数据传输开源库，该框架具备跨平台性，开源免费，并提供了包括`HTTP`、`FTP`、`SMTP`、`POP3`等协议的功能，使用`libcurl`可以方便地进行网络数据传输操作，如发送`HTTP`请求、下载文件、发送电子邮件等。它被广泛应用于各种网络应用开发中，特别是涉及到数据传输的场景。
阅读全文
摘要：Boost 利用ASIO框架实现一个跨平台的反向远控程序，该远控支持保存套接字，当有套接字连入时，自动存储到map容器，当客户下线时自动从map容器中移除，当我们需要与特定客户端通信时，只需要指定客户端ID号即可。
阅读全文
摘要：ImGUI 它是与平台无关的C++轻量级跨平台图形界面库，没有任何第三方依赖，可以将ImGUI的源码直接加到项目中使用，该框架通常会配合特定的D3Dx9等图形开发工具包一起使用，ImGUI常用来实现进程内的菜单功能，而有些辅助开发作者也会使用该框架开发菜单页面，总体来说这是一个很不错的绘图库，如下将公开新版ImGUI如何实现绘制外部菜单的功能。
阅读全文
摘要：x64dbg 调试器的源码编译很麻烦，网络上的编译方法均为老版本，对于新版本来说编译过程中会出现各种错误，编译的坑可以说是一个接着一个，本人通过研究总结出了一套编译拳法可以完美编译输出，不过话说回来x64dbg这种使用两个编译器开发的方式以及调用太多的第三方项目想要完全编译其实也是非常困难的，如下笔记只提供编译x64dbg本体，并确保其能够正常运行。
阅读全文
摘要：Capstone 是一个轻量级的多平台、多架构的反汇编框架。Capstone 旨在成为安全社区中二进制分析和反汇编的终极反汇编引擎。Capstone的编译非常简单只需要一步即可轻松得到对应的Lib库文件，如下将介绍该引擎如何被编译，以及简单的测试编译。
阅读全文
摘要：编写一个带有socket通信功能的插件，x64dbg运行后，用户点击链接按钮可直接连接到外部的python中，python作为服务端，当x64dbg内部出现某个事件后，自动将消息推送到外部python脚本上，实现反向传参的目的。
阅读全文
摘要：x64dbg 是一款开源的应用层反汇编调试器，旨在对没有源代码的可执行文件进行恶意软件分析和逆向工程，同时 x64dbg 还允许用户开发插件来扩展功能，插件开发环境的配置非常简单，如下将简单介绍x64dbg是如何配置开发环境以及如何开发插件的。
阅读全文
摘要：将ShellCode放入变量中，然后修改插入可执行文件名称，运行后即可将shellCode插入到EXE中，并设置好装载地址，程序运行后会先上线，然后在执行原始的代码，在使用metaspoit生成shellcode时，运行方式需要指定为线程运行，如果为进程运行，则会卡在ShellCode的循环代码中，原始程序则无法弹出，也就起不到插入的目的了。
阅读全文
摘要：今天突然想到了一个好玩的免杀思路，原理就是想办法切断磁盘特征与内存特征，关于沙盒免杀我寻思着，这样可以将不同的的DLL映射到内存，在内存中他们的特征也是被切断的，在注入器上做判断如果是沙盒则不加载，不是则分别注入三个甚至是更多的DLL，将我们的ShellCode切片力度更细，分配到几百个甚至上千个DLL上面，做成一个链，应该可以，没尝试过，抽空可以试试。
阅读全文
摘要：Crypto 库是C/C++的加密算法库，这个加密库很流行，基本上涵盖了市面上的各类加密解密算法，以下代码是我在学习是总结的，放到这里用于后期需要时能够快速解决问题。
阅读全文
摘要：反汇编引擎有很多，这个引擎没有Dll，是纯静态链接库，适合r3-r0环境，你可以将其编译为DLL文件，驱动强制注入到游戏进程中，让其快速反汇编，读取出反汇编代码并保存为txt文本，本地分析。
阅读全文
摘要：如果将shellcode注入到具有特定权限的进程中，我们就可以获得与该进程相同的权限，此方法可以用于提权与降权操作，注入有多种方式，最简单的是直接将metasploit生成的有效载荷直接注入到目标进程中，并通过创建远程线程启动，还可以自己实现一个注入器，这里我们自己来实现一个提权器，可提权也可降权。
阅读全文
摘要：加壳的原理就是加密或者压缩程序中的已有资源，然后当程序执行后外壳将模拟PE加载器对EXE中的区块进行动态装入，下面我们来自己实现一个简单的区块加解密程序，来让大家学习了解一下壳的基本运作原理。
阅读全文
摘要：首先，我们的ShellCode代码需要自定位，因为我们的代码并不是一个完整的EXE可执行程序，他没有导入表无法定位到当前系统中每个函数的虚拟地址，所以我们直接获取到Kernel32.dll的基地址，里面的GetProcAddr这个函数，获取的方式有很多，第一种是暴力搜索，第二种通过遍历进程的TEB结构来实现，我们使用第二种方式尝试，一旦获取到该函数，就可以动态的调用任何想要的函数了。
阅读全文
摘要：当我们运行程序时，一般情况下会默认加载Ntdll.dll和Kernel32.dll这两个链接库，在进程未被创建之前Ntdll.dll库就被默认加载了，三环下任何对其劫持都是无效的，除了该Dll外，其他的Dll都是在程序运行时，在输入表中查找到对应关系后才会被装载到内存中的，理论上来说对除NtDll以外的其他库都是可操作的。
阅读全文
摘要：前面的那一篇文章中所使用的技术只能有效抵抗解密者直接修改硬盘文件，当我们使用动态补丁的时候，那么内存中同样不存在校验效果，也就无法抵御对方动态修改机器码了，为了防止解密者直接对内存打补丁，我们需要在硬盘校验的基础上，增加内存校验，防止动态补丁的运用。
阅读全文
摘要：当软件被开发出来时，为了增加软件的安全性，防止被破解，通常情况下都会对自身内存或磁盘文件进行完整性检查，以防止解密者修改程序，我们可以将exe与dll文件同时做校验，来达到相互认证的目的，解密者想要破解则比较麻烦，当我们使用的互认证越多时，解密者处理的难度也就越大。
阅读全文
摘要：今天在复习《加密与解密》时，在软件保护这一章中有一个代码与数据结合的案例，其原理是将代码段中的代码进行xor异或加密处理以后回写到原始位置，当程序运行后将此处的内容动态的进行解密，解密后回写替换回原始内存位置，这样就能实现内存加载。
阅读全文
摘要：在上面的各种Hook挂钩方式中,我们都是在手写封装代码,但这样的方式并不高效,真正的生产环境中我们必须使用现成的Hook库,常用的Hook库有免费开源的MinHook和商业的Detours Hook,这里我们就选择介绍MinHook这个迷你函数库,该Hook库是完全开源免费的,使用起来也非常的简单.
阅读全文
摘要：Hook 技术常被叫做挂钩技术,挂钩技术其实早在DOS时代就已经存在了,该技术是Windows系统用于替代DOS中断机制的具体实现,钩子的含义就是在程序还没有调用系统函数之前,钩子捕获调用消息并获得控制权,在执行系统调用之前执行自身程序,简单来说就是函数劫持.
阅读全文
