摘要：
内核调试入门内核程序运行在内核态，因此不能像对用户态应用程序那样来调试。关于内核调试方面的知识请参考《软件调试》这本书。目前内核调试主要有以下三种方法。一是使用硬件调试器，它通过特定的接口（如 JTAG）与 CPU 建立连接并读取它的状态，例如 ITP 调试器。二是在内核中插入专门用于调试的中断处理... 阅读全文
|
摘要：
内核调试入门内核程序运行在内核态，因此不能像对用户态应用程序那样来调试。关于内核调试方面的知识请参考《软件调试》这本书。目前内核调试主要有以下三种方法。一是使用硬件调试器，它通过特定的接口（如 JTAG）与 CPU 建立连接并读取它的状态，例如 ITP 调试器。二是在内核中插入专门用于调试的中断处理... 阅读全文
摘要：
开发技术讲究封装与模块化，安全技术强调底层安全性。安全技术需要打开封装、追根溯源！《0day 安全：软件漏洞分析技术（第2版）》 第21章 探索 Ring0 笔记Intel x86 系列处理器使用"环"的概念来实施访问控制，共有 4 个权限级别，由高到低分别为 Ring0、Ring1、Ring2、R... 阅读全文
摘要：
[踩点]* OLEViewer：查看 ActiveX 组件信息[Fuzz]* Tools in This Article* COMRaider：ActiveX/ocx[utils]* FileMon：SysInternals 套件中的工具，可以监视系统行为，如监视文件系统操作[Debug & Plu... 阅读全文
摘要：
通过一个精心构造的页面 exploit 第三方软件中的 ActiveX 已经成为一种惯用攻击手段，众多知名软件公司都曾被发现其注册的 ActiveX 中存在严重的缓冲区溢出漏洞，一个被广泛使用的第三方软件漏洞的危害性不亚于 OS 级别的漏洞！每一个 ActiveX 控件被注册进入系统之后，就会在注册... 阅读全文
摘要：
Windows Media Player Plus 是一款 Windows Media Player 的插件，提供很多实用功能，Mark 一下。 阅读全文
摘要：
IE、Office 等软件有个共同点，即用文件作为程序的主要输入，但攻击者往往会挑战程序员的假定和假设。文件格式 Fuzz 就是利用畸形文件测试软件的稳健性，其流程一般包括：* 以一个正常文件作为模板，按规则产生一批畸形文件* 将畸形文件逐一送往软件进行解析，并监视异常* 记录错误信息，如寄存器、栈... 阅读全文
摘要：
终于看完第二篇漏洞利用原理高级篇，内容虽然看懂了，但深入理解不够，这部分内容以后还要不断强化。第三篇是漏洞挖掘技术，篇首的话中，提到程序的不可计算性（图灵机的停机问题）、希伯尔数学纲领的失败，结尾说：由于程序的不可计算性，故无法从理论上用数学方法彻底消灭程序中的所有逻辑缺陷，很有启发性。成为有效的攻... 阅读全文
摘要：
网上找到的，对 Windows Heap 有详细的定义。 1 // file winheap.h 2 typedef void VOID; 3 typedef unsigned __int8 UINT8; 4 typedef unsigned __int16 UINT16; 5 type... 阅读全文
摘要：
http://en.wikipedia.org/wiki/Native_APIWindows 的原生 API 函数通常在系统启动时（这里其他 Windows 组件还不可用）、kernel32.dll 中的用以实现系统 API 的例程调用。ntdll.dll 的入口是 LdrInitializeThu... 阅读全文
摘要：
微软在堆中也增加了一些安全校验操作，使得原本是不容易的堆溢出变得困难重重：* PEB Random：在 Windows XP SP2 之后，微软不再使用固定的 PEB 基址 0x7FFDF000，而是使用具有一定随机性的基址，从而影响了 DWORD SHOOT 对 PEB 中函数的攻击。* Safe... 阅读全文
摘要：
SEHOP，Structed Exception Handling Overwrite Protection，一种比 SafeSEH 更严厉的保护机制。Windows Vista SP1 开始支持 SEHOP，但 Vista 和 Win7 中默认不启用，可以对这两个版本的系统打补丁以支持 SEHOP... 阅读全文
摘要：
ASLR，Address Space Layout Randomization，通过加载程序的时候不再使用固定的基址，从而干扰 shellcode 定位的一种保护机制，包括映像随机化、堆栈随机化、PEB 与 TEB 随机化。ASLR 的实现也需要程序和操作系统的双重支持，但程序的支持不是必须的。AS... 阅读全文
摘要：
一，通过 VirutalProtect() 修改内存属性绕过 DEPDEP 的四种工作模式中，OptOut 和 AlwaysOn 下所有进程默认都开启 DEP 保护，这里如果一个程序自身需要从堆栈中取指令，则会发生错误。为了解决这个问题，MS 在 kernel32.dll 中提供了修改内存属性的 V... 阅读全文
摘要：
Data Execution Prevention，数据执行保护，专门用来弥补计算机对数据和代码混淆这一天然缺陷。DEP 的原理是将数据所在的内存页（默认的堆、各种堆栈页、内存池页）标记为不可执行，当试图执行不可执行页的数据时，CPU 抛出异常，转入异常处理。MS 从 Windows XP sp2 ... 阅读全文
摘要：
SafeSEH 对异常处理的保护原理在 Windows XP sp2 以及之后的版本中，微软引入了 S.E.H 校验机制 SafeSEH。SafeSEH 需要 OS 和 Compiler 的双重支持，二者缺一都会降低保护能力。通过启用 /SafeSEH 链接选项可心使编译好的程序具备 SafeSEH... 阅读全文
|