作者小头像 Lv.3
更多个人资料
535 成长值
1 关注
1 粉丝
+ 关注 私信

个人介绍

致力于二进制安全，反病毒，算法还原技术研究。

感兴趣或擅长的领域

云安全、编程语言、DevOps
个人勋章
TA还没获得勋章~
成长雷达
500
15
0
0
20

个人资料

个人介绍

致力于二进制安全，反病毒，算法还原技术研究。

感兴趣或擅长的领域

云安全、编程语言、DevOps

达成规则

以上满足项可达成此勋章

  • 博客
  • 关注
  • 粉丝
  • 论坛
驱动开发：通过Async反向与内核通信
在前几篇文章中给大家具体解释了驱动与应用层之间正向通信的一些经典案例，本章将继续学习驱动通信，不过这次我们学习的是通过运用`Async`异步模式实现的反向通信，反向通信机制在开发中时常被用到，例如一个杀毒软件如果监控到有异常进程运行或有异常注册表被改写后，该驱动需要主动的通知应用层进程让其知道，这就需要用到驱动反向通信的相关知识点，如下将循序渐进的实现一个反向通信案例。
作者小头像 LyShark
93
0
0
2022-11-01 20:04:29
93
0
0
驱动开发：应用DeviceIoContro开发模板
内核中执行代码后需要将结果动态显示给应用层的用户，DeviceIoControl 是直接发送控制代码到指定的设备驱动程序，使相应的移动设备以执行相应的操作的函数，如下代码是一个经典的驱动开发模板框架，在开发经典驱动时会用到的一个通用案例。
作者小头像 LyShark
94
0
0
2022-11-01 20:03:00
94
0
0
驱动开发：判断自身是否加载成功
在驱动开发中我们有时需要得到驱动自身是否被加载成功的状态，这个功能看似没啥用实际上在某些特殊场景中还是需要的，如下代码实现了判断当前驱动是否加载成功，如果加载成功, 则输出该驱动的详细路径信息。
作者小头像 LyShark
82
0
0
2022-11-01 20:01:21
82
0
0
驱动开发：内核取ntoskrnl模块基地址
模块是程序加载时被动态装载的，模块在装载后其存在于内存中同样存在一个内存基址，当我们需要操作这个模块时，通常第一步就是要得到该模块的内存基址，模块分为用户模块和内核模块，这里的用户模块指的是应用层进程运行后加载的模块，内核模块指的是内核中特定模块地址，本篇文章将实现一个获取驱动`ntoskrnl.exe`的基地址以及长度，此功能是驱动开发中尤其是安全软件开发中必不可少的一个功能。
作者小头像 LyShark
85
0
0
2022-11-01 13:27:12
85
0
0
驱动开发：内核取应用层模块基地址
在上一篇文章`《驱动开发：内核取ntoskrnl模块基地址》`中我们通过调用内核API函数获取到了内核进程`ntoskrnl.exe`的基址，当在某些场景中，我们不仅需要得到内核的基地址，也需要得到特定进程内某个模块的基地址，显然上篇文章中的方法是做不到的，本篇文章将实现内核层读取32位应用层中特定进程模块基址功能。
作者小头像 LyShark
108
0
0
2022-11-01 13:26:16
108
0
0
驱动开发：内核通过PEB得到进程参数
PEB结构`(Process Envirorment Block Structure)`其中文名是进程环境块信息，进程环境块内部包含了进程运行的详细参数信息，每一个进程在运行后都会存在一个特有的PEB结构，通过附加进程并遍历这段结构即可得到非常多的有用信息。
作者小头像 LyShark
93
0
0
2022-11-01 13:25:33
93
0
0
驱动开发：内核R3与R0内存映射拷贝
在上一篇博文`《驱动开发：内核通过PEB得到进程参数》`中我们通过使用`KeStackAttachProcess`附加进程的方式得到了该进程的PEB结构信息，本篇文章同样需要使用进程附加功能，但这次我们将实现一个更加有趣的功能，在某些情况下应用层与内核层需要共享一片内存区域通过这片区域可打通内核与应用层的隔离，此类功能的实现依附于MDL内存映射机制实现。
作者小头像 LyShark
93
0
0
2022-11-01 13:24:30
93
0
0
驱动开发：内核中实现Dump进程转储
多数ARK反内核工具中都存在驱动级别的内存转存功能，该功能可以将应用层中运行进程的内存镜像转存到特定目录下，内存转存功能在应对加壳程序的分析尤为重要，当进程在内存中解码后，我们可以很容易的将内存镜像导出，从而更好的对样本进行分析，当然某些加密壳可能无效但绝大多数情况下是可以被转存的。
作者小头像 LyShark
110
0
0
2022-11-01 13:23:30
110
0
0
驱动开发：内核遍历进程VAD结构体
在上一篇文章`《驱动开发：内核中实现Dump进程转储》`中我们实现了ARK工具的转存功能，本篇文章继续以内存为出发点介绍`VAD`结构，该结构的全程是`Virtual Address Descriptor`即`虚拟地址描述符`，VAD是一个`AVL`自`平衡二叉树`，树的每一个节点代表一段虚拟地址空间。程序中的代码段，数据段，堆段都会各种占用一个或多个`VAD`节点，由一个`MMVAD`结构完整描
作者小头像 LyShark
105
0
0
2022-11-01 13:22:19
105
0
0
驱动开发：内核枚举IoTimer定时器
今天继续分享内核枚举系列知识，这次我们来学习如何通过代码的方式枚举内核`IoTimer`定时器，内核定时器其实就是在内核中实现的时钟，该定时器的枚举非常简单，因为在`IoInitializeTimer`初始化部分就可以找到`IopTimerQueueHead`地址，该变量内存储的就是定时器的链表头部。枚举IO定时器的案例并不多见，即便有也是无法使用过时的，此教程学到肯定就是赚到了。
作者小头像 LyShark
90
0
0
2022-11-01 13:20:18
90
0
0
总条数：173
  • 1
  • ...
  • 14
  • 15
  • 16
  • 17
  • 18
到第 页

上滑加载中

https://www.baidu.com/s?ie=utf-8&f=3&rsv_bp=0&rsv_idx=1&tn=baidu&wd=sed%20%E6%9B%BF%E6%8D%A2%E5%AD%97%E7%AC%A6%E4%B8%B2&rsv_pq=c7db61a600035dc5&rsv_t=5e19yEsbV9N5fIvdlGRU
作者小头像
作者小头像
快速交付
+ 关注 私信