随笔分类 - 《Visual C++ 编程技术实践》
摘要：Hook 技术常被叫做挂钩技术,挂钩技术其实早在DOS时代就已经存在了,该技术是Windows系统用于替代DOS中断机制的具体实现,钩子的含义就是在程序还没有调用系统函数之前,钩子捕获调用消息并获得控制权,在执行系统调用之前执行自身程序,简单来说就是函数劫持.
阅读全文
摘要：异或加密ShellCode: #include <stdio.h> #include <Windows.h> unsigned char buf[] = "\xba\xa9\xb0\x07\x68\xdd\xc3\xd9\x74\x24\xf4\x5e\x31\xc9\xb1"; int main(
阅读全文
摘要：C/C++ 要实现程序反调试有多种方法，BeingDebugged，NtGlobalFlag，ProcessHeap，CheckRemoteDebuggerPresent，STARTUPINFO，IsDebuggerPresent，父进程检测，TLS 线程局部存储，RDTSC时钟检测反调试，MapFileAndCheckSum，等都可实现反调试，这里我分别编写了一些案例，基本上一锅端了。
阅读全文
摘要：C/C++ 通过搜索PE结构中的空隙部分，对指定文件写入感染标志，作用是，如果程序被感染过则不再继续感染，而搜索空字节，则是要将恶意代码动态的填充到可执行文件中，并劫持执行流，以下代码就是这两种代码的具体实现方式。
阅读全文
摘要：npcap 是Nmap自带的一个数据包处理工具，Nmap底层就是使用这个包进行收发包的，该库，是可以进行二次开发的，不过使用C语言开发费劲，在进行渗透任务时，还是使用Python构建数据包高效，唯一的区别是使用Python的库，可以节约我们寻找数据包结构的时间.
阅读全文
摘要：异或，加解密shellcode代码的简单分析方法。 #include <stdio.h> #include <Windows.h> unsigned char buf[] = "\xba\xa9\xb0\x07\x68\xdd\xc3\xd9\x74\x24\xf4\x5e\x31\xc9\xb1"
阅读全文
摘要：各种API远程线程注入的方法，分别是 远程线程注入，普通消息钩子注入，全局消息钩子注入，APC应用层异步注入，ZwCreateThreadEx强力注入，纯汇编实现的线程注入等。
阅读全文
摘要：针对注册表恶意修改: #include <stdio.h> #include <Windows.h> // 禁用系统任务管理器 void RegTaskmanagerForbidden() { HKEY hkey; DWORD value = 1; RegCreateKey(HKEY_CURRENT
阅读全文
摘要：我们可以通过使用CRC32算法计算出程序的CRC字节，并将其写入到PE文件的空缺位置，这样当程序再次运行时，来检测这个标志，是否与计算出来的标志一致，来决定是否运行程序，一旦程序被打补丁，其crc32值就会发生变化，一旦发生变化，程序就废了，绕过的方式则是，1.动态打补丁，2.找到crc32算法位置将跳转nop掉，3.直接手动计算出crc32并覆盖到原始程序的crc算法位置。
阅读全文
摘要：现动态内存补丁读取这种补丁是把程序加载到内存中以后对其进行修改,常用于加壳程序的破解.
阅读全文
摘要：CREATE_PROCESS_DEBUG_EVENT 创建进程的调试事件。CREATE_PROCESS_DEBUG_INFO结构体描述了该类调试事件的详细信息，OUTPUT_DEBUG_STRING_EVENT 该事件，当被调试进程调用OutputDebugString时就会引发该类调试事件，OUTPUT_DEBUG_STRING_INFO结构体描述了关于该事件的详细信息，LOAD_DLL_DEBUG_EVENT 当DLL被加载时，会调用该回调，LOAD_DLL_DEBUG_INFO结构体描述了它的详细信息，dll的路径被放在了，hfile字段，该字段默认是句柄方式存储的，需要手工转换。
阅读全文
摘要：内存遍历，枚举数据，实现特征码扫描。
阅读全文
摘要：npcap 是Nmap自带的一个数据包处理工具，Nmap底层就是使用这个包进行收发包的，该库，是可以进行二次开发的，不过使用C语言开发费劲，在进行渗透任务时，还是使用Python构建数据包高效，这东西没啥意义.
阅读全文
摘要：LyDebug 是一款使用C/C++语言开发实现的命令行应用层动态反汇编调试器，通过运用Windows系统下的调试API函数并配合Capstone反汇编引擎，完美实现了x86与x64程序的调试功能，该调试器目前功能包括寄存器查看修改，软硬件断点的设置删除以及遍历，单步步进步过操作，堆栈检查，内存检查等。
阅读全文
摘要：权限提升 #include <Windows.h> #include <stdio.h> BOOL SetPrivilege(LPCTSTR lpszPrivilege, BOOL bEnablePrivilege) { TOKEN_PRIVILEGES tp; HANDLE hToken; LUI
阅读全文
摘要：内存注入ShellCode的优势就在于被发现的概率极低，甚至可以被忽略，这是因为ShellCode被注入到进程内存中时，其并没有与之对应的硬盘文件，从而难以在磁盘中取证，但也存在一个弊端由于内存是易失性存储器，所以系统必须一直开机，不能关闭，该攻击手法可以应用于服务器上面，安全风险最小，注入后将注入器删除即可。
阅读全文
摘要：Hook 技术通常被称为钩子技术，Hook技术是Windows系统用于替代中断机制的具体实现，钩子的含义就是在程序还没有调用系统函数之前，钩子捕获调用消息并获得控制权，在执行系统调用之前执行自身程序，简单来说就是函数劫持，本笔记将具体介绍应用层Hook的实现机制。
阅读全文
摘要：反调试技术，恶意代码会用它识别自身是否被调试，或者让调试器失效，给反病毒工程师们制造麻烦，拉长提取特征码的时间线，本章将具体总结常见的反调试基础的实现原理以及如何过掉这些反调试手段，从而让我们能够继续分析恶意代码。
阅读全文
摘要：简易 ShellCode 虽然可以正常被执行，但是还存在很多的问题，因为上次所编写的 ShellCode 采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统一就会存在调用函数失败甚至是软件卡死的现象，下面我们通过编写一些定位程序，让 ShellCode 能够动态定位我们所需要的API函数地址，从而解决上节课中 ShellCode 的通用性问题。
阅读全文
摘要：ShellCode 通常是指一个原始的可执行代码的有效载荷，ShellCode 这个名字来源于攻击者通常会使用这段代码来获得被攻陷系统上的交互 Shell 的访问权限，而现在通常用于描述一段自包含的独立的可执行代码片段。
阅读全文
