2017年10月5日

windows x64 软件约定

摘要： 1.类型和存储标量数据类型 Byte － 8 位 Word － 16 位 Double Word － 32 位 Quad Word － 64 位 Octa Word － 128 位 Byte － 8 位 Word － 16 位 Double Word － 32 位 Quad Word － 64 位阅读全文

posted @ 2017-10-05 14:12 freesec 阅读(289) 评论(0) 推荐(0) 编辑

2017年10月3日

windows 64位系统非HOOK方式监控进程创建

摘要：以下内容参考黑客防线2012合订本354页 MSDN 原话: The PsSetCreateProcessNotifyRoutineEx routine registers or removes a callback routine that notifies the caller when a p 阅读全文

posted @ 2017-10-03 14:00 freesec 阅读(3513) 评论(0) 推荐(0) 编辑

win 64 ring0 inline hook

摘要：以下内容参考黑客防线2012合订本316页 1.首先要注意的问题 inline hook 不能截断指令. 也就是说修改目标函数的指令实现跳转到自己的函数里面时, 不能截断掉目标函数的指令. 因为在自己的函数里面还要调用原来的函数,但是原来的函数如果被截断那就没办法正常执行代码 2.反汇编引擎. 用来阅读全文

posted @ 2017-10-03 12:45 freesec 阅读(1384) 评论(0) 推荐(0) 编辑

2017年10月2日

win 64 Shadow ssdt hook

摘要：以下参考黑客防线2012合订本 339页 //下午调代码搞了这个一天,总是蓝屏,不断检查代码,后来发现了很怪的现象. 自己写的代码不能读取shadow ssdt的偏移内容,但是通过和调试作者的代码输出发现地址确实是一模一样的,但是自己的读不出来,而作者的能读出来,当直接使用windbg调试时也读阅读全文

posted @ 2017-10-02 22:31 freesec 阅读(2385) 评论(0) 推荐(0) 编辑

2017年10月1日

win 64 SSDT HOOK

摘要：以下内容参考黑客防线2012合订本第294页其实没什么好说的,直接上代码: ssdt的结构,和win32差不多,但是要注意这里的指针类型不能用ULONG替代,如果要非要替代应该用ULONGLONG,原因就不说了. 获取上面的结构的地址的代码; 遍历所有Native API 地址: 测试结果: wi 阅读全文

posted @ 2017-10-01 20:36 freesec 阅读(2381) 评论(0) 推荐(0) 编辑

2017年9月23日

win 64 文件操作

摘要：以下内容全部来自www.vbasm.com 中的WIN64驱动编程基础教程 1.文件复制阅读全文

posted @ 2017-09-23 21:02 freesec 阅读(400) 评论(0) 推荐(0) 编辑

win64 驱动内存基本操作

摘要： 1.基本函数及其原型 2.内存类型 PagedPool 和NonPagedPool 前者可以被置换到硬盘中,一般存储数据, 如打开一个大文件, 数据结构. 后者不能被置换到硬盘中,驻留在内存中,一般用来存储代码. 如果执行代码到PagedPool的内存中去了,很有可能导致蓝屏此外,在内核空间中所有阅读全文

posted @ 2017-09-23 20:41 freesec 阅读(976) 评论(0) 推荐(0) 编辑

2017年9月22日

windbg符号表问题

摘要： 1. 首先设置符号表路径在系统环境变量添加一个 _NT_SYMBOL_PATH 值为srv*d:\symbols*http://msdl.microsoft.com/download/symbols 这样IDA, windbg, vs 都会自动到该目录加载符号表. 对于这个路径d:\symbols 阅读全文

posted @ 2017-09-22 21:32 freesec 阅读(3851) 评论(1) 推荐(0) 编辑

2017年9月21日

Windows 64位驱动编程基础与win64 ssdt

摘要： Win64编程 32位系统逐渐淘汰,转到64位编程相当重要. 但苦于64位驱动编程网上的资料比较杂乱这里打算写写关于64位驱动编程的内容,当然大部分内容都是从网上搜集过来的,然后汇集到一起好用来学习. 双机调试, 加载驱动工具,debgview工具, win10重启后禁用驱动签名. 重启后加载驱动阅读全文

posted @ 2017-09-21 21:36 freesec 阅读(3842) 评论(0) 推荐(0) 编辑

2017年9月7日

基础知识

摘要： 1.windows主要系统组件 1.对象管理器用来管理各种对象，包括文件，设备，注册表键值，进程，线程，事件，符号链接，互斥体，信号量。可以进行对象的创建和销毁，跟踪分配给每一个进程的资源，某对象的访问权限。通常对应的api是Ob开头的 2. 内存管理器对内存进行分配与释放。支持内存映射文件阅读全文

posted @ 2017-09-07 22:38 freesec 阅读(298) 评论(0) 推荐(0) 编辑