作者小头像 Lv.3
更多个人资料
383 成长值
0 关注
1 粉丝
+ 关注 私信

个人介绍

致力于二进制安全，反病毒，算法还原技术研究。

感兴趣或擅长的领域

人工智能、云安全、编程语言、DevOps、云计算
个人勋章
TA还没获得勋章~
成长雷达
360
3
0
0
20

个人资料

个人介绍

致力于二进制安全，反病毒，算法还原技术研究。

感兴趣或擅长的领域

人工智能、云安全、编程语言、DevOps、云计算

达成规则

以上满足项可达成此勋章

  • 博客
  • 关注
  • 粉丝
  • 论坛
驱动开发：对象回调监控文件访问
无论在用户层还是内核层，操作文件的流程基本一致，除了在API函数上的区别（用户层调用用户层API，内核层调用内核API）以外其他基本一致，先讲解一下文件系统执行的流程。实现文件的监控呢，比如当文件被访问时自动触发回调，看如下代码实现方式。
作者小头像 LyShark
69
0
0
2022-11-02 19:10:52
69
0
0
驱动开发：通过SystemBuf与内核层通信
内核层与应用层之间的数据交互是必不可少的部分，只有内核中的参数可以传递给用户数据才有意义，一般驱动多数情况下会使用`SystemBuf`缓冲区进行通信，也可以直接使用网络套接字实现通信，如下将简单介绍通过SystemBuf实现的内核层与应用层通信机制。
作者小头像 LyShark
79
0
0
2022-11-02 19:09:44
79
0
0
驱动开发：WinDBG 常用调试命令总结
Windbg是Microsoft公司免费调试器调试集合中的GUI的调试器，支持Source和Assembly两种模式的调试。Windbg不仅可以调试应用程序，还可以进行Kernel Debug。结合Microsoft的Symbol Server，可以获取系统符号文件，便于应用程序和内核的调试。Windbg支持的平台包括X86、IA64、AMD64。
作者小头像 LyShark
83
0
0
2022-11-02 19:08:36
83
0
0
驱动开发：监控进程与线程对象操作
监控进程对象和线程对象操作，可以使用`ObRegisterCallbacks`这个内核回调函数，通过回调我们可以实现保护calc.exe进程不被关闭，具体操作从`OperationInformation->Object`获得进程或线程的对象，然后再回调中判断是否是计算器，如果是就直接去掉`TERMINATE_PROCESS`或`TERMINATE_THREAD`权限即可。
作者小头像 LyShark
150
0
0
2022-11-02 19:07:57
150
0
0
驱动开发：内核监控进程与线程创建
监控进程的启动与退出可以使用 `PsSetCreateProcessNotifyRoutineEx` 来创建回调，当新进程产生时，回调函数会被率先执行，然后执行我们自己的`MyCreateProcessNotifyEx`函数，并在内部进行打印输出。
作者小头像 LyShark
82
0
0
2022-11-02 19:04:43
82
0
0
驱动开发：内核MDL读写进程内存
MDL内存读写是最常用的一种读写模式，通常需要附加到指定进程空间内然后调用内存拷贝得到对端内存中的数据，在调用结束后再将其空间释放掉，通过这种方式实现内存读写操作，此种模式的读写操作也是最推荐使用的相比于CR3切换来说，此方式更稳定并不会受寄存器的影响。
作者小头像 LyShark
109
0
0
2022-11-02 14:14:23
109
0
0
驱动开发：通过内存拷贝读写内存
内核中读写内存的方式有很多，典型的读写方式有CR3读写，MDL读写，以及今天要给大家分享的内存拷贝实现读写，拷贝读写的核心是使用`MmCopyVirtualMemory`这个内核API函数实现，通过调用该函数即可很容易的实现内存的拷贝读写。
作者小头像 LyShark
87
0
0
2022-11-02 14:13:15
87
0
0
驱动开发：断链隐藏驱动程序自身
与断链隐藏进程功能类似，关于断链进程隐藏可参考`《驱动开发：DKOM 实现进程隐藏》`这一篇文章，断链隐藏驱动自身则用于隐藏自身SYS驱动文件，当驱动加载后那么使用ARK工具扫描将看不到自身驱动模块，此方法可能会触发PG会蓝屏，在某些驱动辅助中也会使用这种方法隐藏自己。
作者小头像 LyShark
63
0
0
2022-11-02 14:10:23
63
0
0
驱动开发：运用VAD隐藏R3内存思路
在进程的`_EPROCESS`中有一个`_RTL_AVL_TREE`类型的`VadRoot`成员，它是一个存放进程内存块的二叉树结构，如果我们找到了这个二叉树中我们想要隐藏的内存，直接将这个内存在二叉树中`抹去`，其实是让上一个节点的`EndingVpn`指向下个节点的`EndingVpn`，类似于摘链隐藏进程，就可以达到隐藏的效果。
作者小头像 LyShark
59
0
0
2022-11-02 14:07:31
59
0
0
驱动开发：摘链DKOM进程隐藏
DKOM 即直接内核对象操作，我们所有的操作都会被系统记录在内存中，而驱动进程隐藏就是操作进程的EPROCESS结构与线程的ETHREAD结构、链表，要实现进程的隐藏我们只需要将某个进程中的信息，在系统EPROCESS链表中摘除即可实现进程隐藏。
作者小头像 LyShark
70
0
0
2022-11-02 14:02:09
70
0
0
总条数：110
  • 1
  • ...
  • 6
  • 7
  • 8
  • ...
  • 11
到第 页

上滑加载中

https://www.baidu.com/s?ie=utf-8&f=3&rsv_bp=0&rsv_idx=1&tn=baidu&wd=sed%20%E6%9B%BF%E6%8D%A2%E5%AD%97%E7%AC%A6%E4%B8%B2&rsv_pq=c7db61a600035dc5&rsv_t=5e19yEsbV9N5fIvdlGRU
作者小头像
作者小头像
快速交付
+ 关注 私信