LYSHARK

摘要： 在正常情况下，要想使用`GetProcAddress`函数，需要首先调用`LoadLibraryA`函数获取到`kernel32.dll`动态链接库的内存地址，接着在调用`GetProcAddress`函数时传入模块基址以及模块中函数名即可动态获取到特定函数的内存地址，但在有时这个函数会被保护起来，导致我们无法直接调用该函数获取到特定函数的内存地址，此时就需要自己编写实现`LoadLibrary`以及`GetProcAddress`函数，该功能的实现需要依赖于`PEB`线程环境块，通过线程环境块可遍历出`kernel32.dll`模块的入口地址，接着就可以在该模块中寻找`GetProcAddress`函数入口地址，当找到该入口地址后即可直接调用实现动态定位功能。 阅读全文

摘要： PE格式是 Windows下最常用的可执行文件格式,理解PE文件格式不仅可以了解操作系统的加载流程,还可以更好的理解操作系统对进程和内存相关的管理知识,而有些技术必须建立在了解PE文件格式的基础上,如文件加密与解密,病毒分析,外挂技术等，本次的目标是手工修改或增加节区，并给特定可执行程序插入一段`ShellCode`代码，实现程序运行自动反弹一个Shell会话。 阅读全文

摘要： 在`Windows`操作系统中，动态链接库`DLL`是一种可重用的代码库，它允许多个程序共享同一份代码，从而节省系统资源。在程序运行时，如果需要使用某个库中的函数或变量，就会通过链接库来实现。而在`Windows`系统中，两个最基础的链接库就是`Ntdll.dll`和`Kernel32.dll`。Ntdll.dll是Windows系统内核提供的一个非常重要的动态链接库，包含了大量的系统核心函数，如文件操作、进程和线程管理、内存操作等等。在进程启动时，操作系统会先加载`Ntdll.dll`，并将其映射到该进程的地址空间中。由于`Ntdll.dll`是如此重要，所以任何对其的劫持都是无效的。这也是为什么说在应用层下，无论什么程序都无法修改或替换`Ntdll.dll`的原因。 阅读全文

摘要： 在笔者前几篇文章中我们一直在探讨如何利用`Metasploit`这个渗透工具生成`ShellCode`以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向`ShellCode`Shell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与`《运用C语言编写ShellCode代码》`中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对`Metasploit`工具生成的Shell原理的理解能够起到促进作用。 阅读全文

摘要： ShellCode 的格式化与注入功能在实战应用中也尤为重要，格式化`Shellcode`是指将其转换为可执行的二进制格式，使其能够在内存中运行。注入`Shellcode`是指将格式化的`Shellcode`注入到另一个进程的内存中，以便在该进程中执行，此类功能也可算作`ShellCode`技术的延申功能。 阅读全文

摘要： 动态解密执行技术可以对抗杀软的磁盘特征查杀。其原理是将程序代码段中的代码进行加密，然后将加密后的代码回写到原始位置。当程序运行时，将动态解密加密代码，并将解密后的代码回写到原始位置，从而实现内存加载。这种技术可以有效地规避杀软的特征码查杀，因为加密后的代码通常不会被标记为恶意代码。 阅读全文

摘要： 在笔者前几篇文章中，我们使用汇编语言并通过自定位的方法实现了一个简单的`MessageBox`弹窗功能，但由于汇编语言过于繁琐在编写效率上不仅要考验开发者的底层功底，还需要写出更多的指令集，这对于普通人来说是非常困难的，当然除了通过汇编来实现`ShellCode`的编写以外，使用C同样可以实现编写，在多数情况下读者可以直接使用C开发，只有某些环境下对ShellCode条件有极为苛刻的长度限制时才会考虑使用汇编。 阅读全文

摘要： 在之前的文章中，我们实现了一个正向的匿名管道`ShellCode`后门，为了保证文章的简洁易懂并没有增加针对调用函数的动态定位功能，此类方法在更换系统后则由于地址变化导致我们的后门无法正常使用，接下来将实现通过PEB获取`GetProcAddrees`函数地址，并根据该函数实现所需其他函数的地址自定位功能，通过枚举内存导出表的方式自动实现定位所需函数的动态地址，从而实现后门的通用性。 阅读全文

摘要： Boost ASIO（Asynchronous I/O）是一个用于异步I/O操作的C++库，该框架提供了一种方便的方式来处理网络通信、多线程编程和异步操作。特别适用于网络应用程序的开发，从基本的网络通信到复杂的异步操作，如远程控制程序、高并发服务器等都可以使用该框架。该框架的优势在于其允许处理多个并发连接，而不必创建一个线程来管理每个连接。最重要的是ASIO是一个跨平台库，可以运行在任何支持C++的平台下。本章笔者将介绍如何通过ASIO框架实现一个简单的异步网络套接字应用程序，该程序支持对Socket套接字的存储，默认将套接字放入到一个Map容器内，当需要使用时只需要将套接字在容器内取出并实现通信，客户端下线时则自动从Map容器内移除，通过对本章知识的学习读者可以很容易的构建一个跨平台的简单远控功能。 阅读全文

摘要： 本文将介绍如何将`CMD`绑定到双向管道上，这是一种常用的黑客反弹技巧，可以让用户在命令行界面下与其他程序进行交互，我们将从创建管道、启动进程、传输数据等方面对这个功能进行详细讲解。此外，本文还将通过使用汇编语言一步步来实现这个可被注入的`ShellCode`后门，并以此提高代码通用性。最终，我们将通过一个实际的漏洞攻击场景来展示如何利用这个后门实现内存注入攻击。 阅读全文

摘要： 在笔者上一篇文章中简单的介绍了如何运用汇编语言编写一段弹窗代码，虽然简易`ShellCode`可以被正常执行，但却存在很多问题，由于采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统或系统重启过，那么基址将会发生变化，此时如果再次调用基址参数则会调用失败，本章将解决这个棘手的问题，通过`ShellCode`动态定位的方式解决这个缺陷，并以此设计出真正符合规范的`ShellCode`代码片段。 阅读全文

摘要： 在前面的章节中相信读者已经学会了使用`Metasploit`工具生成自己的`ShellCode`代码片段了，本章将继续深入探索关于`ShellCode`的相关知识体系，ShellCode 通常是指一个原始的可执行代码的有效载荷，攻击者通常会使用这段代码来获得被攻陷系统上的交互Shell的访问权限，而现在用于描述一段自包含的独立的可执行代码片段。ShellCode代码的编写有多种方式，通常会优先使用汇编语言实现，这得益于汇编语言的可控性。ShellCode 通常会与漏洞利用并肩使用，或是被恶意代码用于执行进程代码的注入，通常情况下`ShellCode`代码无法独立运行，必须依赖于父进程或是`Windows`文件加载器的加载才能够被运行，本章将通过一个简单的弹窗（MessageBox）来实现一个简易版的弹窗功能，并以此来加深读者对汇编语言的理解。 阅读全文

摘要： 在本节中，我们将介绍如何通过使用`Metasploit`生成加密载荷，以隐藏网络特征。前一章节我们已经通过`Metasploit`生成了一段明文的ShellCode，但明文的网络传输存在安全隐患，因此本节将介绍如何通过生成SSL证书来加密ShellCode，使得网络特征得到隐藏，从而提高后门的生存能力和抵抗网络特征分析的能力。ShellCode 网络特征加密我们采用的是SSL（Secure Sockets Layer），现已被替换为TLS（Transport Layer Security），SSL是一种用于在Web上传输数据的安全协议。它的主要目的是确保在互联网上传输的数据在传递过程中不会被第三方窃取或篡改。SSL加密的原理是通过两个公钥和一个私钥来加密数据。公钥用于加密数据，私钥用于解密数据。在传输过程中，发送者使用接收者的公钥对数据进行加密，接收者使用自己的私钥对数据进行解密。这样，即使在网络上被窃取，数据也无法被第三方解密，从而保证了数据的安全性。 阅读全文

摘要： Metasploit 简称（MSF）是一款流行的开源渗透测试框架，由`Rapid7`公司开发，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。并且该框架还提供了一系列攻击模块和`Payload`工具，可用于漏洞利用、及漏洞攻击。同时软件自身支持多种操作系统平台，包括`Windows、Linux、MacOS`等。直到今天`Metasploit`已成为众多黑客手中渗透攻击的利器，并在安全领域大展身手。 阅读全文

摘要： 选择结构，也称为switch语句，是计算机编程中的一种控制结构，用于根据表达式的值选择不同的执行路径。它允许程序根据表达式的值来决定执行哪个代码块，从而实现多分支选择逻辑。switch语句由一个表达式、多个case标签以及对应的代码块组成。程序会将表达式的值与每个case标签进行匹配，一旦找到匹配的case标签，程序将执行对应的代码块，并继续执行该代码块之后的代码，直到遇到break语句或者switch语句结束。 阅读全文

摘要： 循环语句（for）是计算机编程中的一种基本控制结构，它允许程序按照指定的次数或范围重复执行一段代码块。for循环在处理需要进行迭代操作的情况下非常有用，它使得程序可以更加方便地控制循环的次数。一般来说，for循环由三个部分组成：初始化部分、条件表达式和更新部分，以及一个需要重复执行的代码块。在每次循环迭代开始时，程序首先执行初始化部分，然后检查条件表达式的值，如果为真，则执行代码块，并在每次循环结束后执行更新部分。只要条件表达式为真，for循环就会一直重复执行；一旦条件表达式为假，循环将停止，程序继续执行循环之后的代码。 阅读全文

摘要： 循环语句（While）一种基本控制结构，它允许程序在条件为真的情况下重复执行一段代码块，直到条件为假为止。循环语句在处理需要重复执行的任务时非常有用，它可以让程序更加高效地处理大量数据或者重复性操作。一般来说，While循环由一个条件表达式、一个代码块组成。在每次循环迭代开始时，程序会首先检查条件表达式的值，如果为真，则执行代码块，然后再次检查条件表达式的值。只要条件表达式为真，循环就会一直继续执行；一旦条件表达式为假，循环将停止，程序继续执行循环之后的代码。 阅读全文

摘要： 条件语句，也称为IF-ELSE语句，是计算机编程中的一种基本控制结构。它允许程序根据条件的真假来执行不同的代码块。条件语句在处理决策和分支逻辑时非常有用。一般来说，条件语句由IF关键字、一个条件表达式、一个或多个代码块以及可选的ELSE关键字和对应的代码块组成。条件表达式的结果通常是布尔值（True或False），决定了程序将执行IF代码块还是ELSE代码块。在汇编语言中，条件跳转指令用于根据条件语句的结果在不同的代码块之间跳转，标签用于标记代码块的入口点。通过运用标签与跳转即可构建不同的条件语句，本章将以C语言中条件语句为基础，并使用汇编语言介绍如何实现它们，以让读者能更加深入的理解C语言与汇编语言之间的差异，帮助读者更好的理解并运用汇编语言。 阅读全文

摘要： 过程的实现离不开堆栈的应用，堆栈是一种后进先出`(LIFO)`的数据结构，最后压入栈的值总是最先被弹出，而新数值在执行压栈时总是被压入到栈的最顶端，栈主要功能是暂时存放数据和地址，通常用来保护断点和现场。栈是由`CPU`管理的线性内存数组,它使用两个寄存器`(SS和ESP)`来保存栈的状态，SS寄存器存放段选择符，而ESP寄存器的值通常是指向特定位置的一个32位偏移值，我们很少需要直接操作ESP寄存器，相反的ESP寄存器总是由`CALL,RET,PUSH,POP`等这类指令间接性的修改。 阅读全文

摘要： LibCurl是一个开源的免费的多协议数据传输开源库，该框架具备跨平台性，开源免费，并提供了包括`HTTP`、`FTP`、`SMTP`、`POP3`等协议的功能，使用`libcurl`可以方便地进行网络数据传输操作，如发送`HTTP`请求、下载文件、发送电子邮件等。它被广泛应用于各种网络应用开发中，特别是涉及到数据传输的场景。 阅读全文

摘要： 浮点运算单元是从80486处理器开始才被集成到CPU中的，该运算单元被称为FPU浮点运算模块，FPU不使用CPU中的通用寄存器，其有自己的一套寄存器，被称为浮点数寄存器栈，FPU将浮点数从内存中加载到寄存器栈中，完成计算后在回写到内存中。FPU有8个可独立寻址的80位寄存器，分别名为`R0-R7`他们以堆栈的形式组织在一起，栈顶由FPU状态字中的一个名为TOP的域组成，对寄存器的引用都是相对于栈顶而言的，栈顶通常也被叫做ST(0)最后一个栈底则被记作ST(7)其使用方式与堆栈一致。 阅读全文

摘要： 通常情况下计算除法会使用`div/idiv`这两条指令，该指令分别用于计算无符号和有符号除法运算，但除法运算所需要耗费的时间非常多，大概需要比乘法运算多消耗10倍的CPU时钟，在Debug模式下，除法运算不会被优化，但Release模式下，除法运算指令会被特定的算法经过优化后转化为为乘法，这样就可以提高除法运算的效率。 阅读全文

摘要： 汇编语言是一种面向机器的低级语言，用于编写计算机程序。汇编语言与计算机机器语言非常接近，汇编语言程序可以使用符号、助记符等来代替机器语言的二进制码，但最终会被汇编器编译成计算机可执行的机器码。乘法指令是一种在CPU中实现的基本算术操作，用于计算两个数的乘积。在汇编语言中，乘法指令通常是通过`mul（无符号乘法）`和`imul（有符号乘法）`这两个指令实现的。由于乘法指令在执行时所消耗的时钟周期较多，所以编译器在优化代码时通常会尝试将乘法操作转换为更高效的加法、和移位操作。 阅读全文

摘要： 汇编语言是一种面向机器的低级语言，用于编写计算机程序。汇编语言与计算机机器语言非常接近，汇编语言程序可以使用符号、助记符等来代替机器语言的二进制码，但最终会被汇编器编译成计算机可执行的机器码。数组和指针都是用来处理内存地址的操作，二者在C语言中可以互换使用。数组是相同数据类型的一组集合，这些数据在内存中是连续存储的，在C语言中可以定义一维、二维、甚至多维数组。多维数组在内存中也是连续存储的，只是数据的组织方式不同。在汇编语言中，实现多维数组的寻址方式相对于C语言来说稍显复杂，但仍然可行。下面介绍一些常用的汇编语言方式来实现多维数组的寻址。 阅读全文

摘要： 函数是任何一门高级语言中必须要存在的，使用函数式编程可以让程序可读性更高，充分发挥了模块化设计思想的精髓，今天我将带大家一起来探索函数的实现机理，探索编译器到底是如何对函数这个关键字进行实现的，并使用汇编语言模拟实现函数编程中的参数传递调用规范等。说到函数我们必须要提起调用约定这个名词，而调用约定离不开栈的支持，栈在内存中是一块特殊的存储空间，遵循先进后出原则，使用push与pop指令对栈空间执行数据压入和弹出操作。栈结构在内存中占用一段连续存储空间，通过esp与ebp这两个栈指针寄存器来保存当前栈起始地址与结束地址，每4个字节保存一个数据。 阅读全文

摘要： 算术运算指令集是计算机中的一组基本操作，用于对数字执行常见的算术运算操作。这些指令都是计算机中非常基础的运算指令，可以用于实现所有常见的算术运算操作，并可以通过组合使用实现更加复杂的数学运算。在实际编程中，程序员可以根据具体需求选择合适的运算指令，实现程序中的算术运算操作。 阅读全文

摘要： 本章将深入研究字符串操作指令，这些指令在汇编语言中具有重要作用，用于处理字符串数据。我们将重点介绍几个关键的字符串操作指令，并详细解释它们的功能和用法。通过清晰的操作示例和代码解析，读者将了解如何使用这些指令进行字符串比较、复制、填充等常见操作。我们还将探讨不同指令之间的区别，并提供实际的示例程序，展示字符串操作指令在实际场景中的应用。通过学习本章，读者将能够拓展汇编技能，为处理字符串数据提供高效而精确的解决方案。 阅读全文

摘要： 汇编语言是一种面向机器的低级语言，用于编写计算机程序。汇编语言与计算机机器语言非常接近，汇编语言程序可以使用符号、助记符等来代替机器语言的二进制码，但最终会被汇编器编译成计算机可执行的机器码。标志位测试指令是汇编语言中用于测试处理器标志位状态的指令。标志位是位于处理器状态寄存器中的一组特殊标志，用于指示上一个运算的结果是否为零、是否进位/借位、是否溢出等等。可以使用标志位测试指令来检查标志位的状态，并在需要时根据标志位状态进行操作。 阅读全文

摘要： 汇编语言是一种面向机器的低级语言，用于编写计算机程序。汇编语言与计算机机器语言非常接近，汇编语言程序可以使用符号、助记符等来代替机器语言的二进制码，但最终会被汇编器编译成计算机可执行的机器码。较于高级语言（如C、Python等），汇编语言学习和使用难度相对较大，需要对计算机内部结构、指令集等有深入的了解，以及具有良好的编程习惯和调试能力。但对于需要对计算机底层进行操作的任务，汇编语言是极其高效的，因为其可以实现对计算机底层资源的精细控制，极大地提高了计算机运行效率。尽管在当今计算机界已经不再使用汇编语言来开发程序，但作为一名安全从业者掌握汇编语言将会是高手与专家之间最大的差距，汇编语言作为底层语言，具有直接访问计算机硬件和系统资源的能力，因此在系统级漏洞挖掘、内核安全、计算机反病毒等领域中具有非常重要的作用。 阅读全文

摘要： 命令行解析库是一种用于简化处理命令行参数的工具，它可以帮助开发者更方便地解析命令行参数并提供适当的帮助信息。C++语言中，常用的命令行解析库有许多，通过本文的学习，读者可以了解不同的命令行解析库和它们在C++项目中的应用，从而更加灵活和高效地处理命令行参数。 阅读全文