酒水不犯茶水

堡耳机的方法

摘要: 堡耳机的方法
一般来说，新买来的好点的耳机都需要堡，堡了以后才能有比较好的音质。
堡耳机的步骤如下：
1.正常听音量的1/3驱动耳机24小时(100-10kHz)
2.正常听音量的2/3驱动耳机24小时(50-15kHz)
3.正常听音量驱动耳机72小时(20-20kHz)
4.正常听音量的3/4驱动耳机24小时(20-20K)
5.正常听音量听歌阅读全文

posted @ 2007-08-17 16:56 009 阅读(742) | 评论 (0) | 编辑收藏

通过活动链表或HOOK API隐藏进程

摘要: 进程隐藏的两种方法
这两种都是很古老的方法，因为无聊，所以写了一下。代码在XP_SP2下调试通过.

(1).从活动进程链表（ActiveProcessLinks）中摘除自身,这种方法可以欺骗任务管理器，
下面这个程序做的就是双向链表的删除节点和插入节点，十分的简单。

（2）.如果你反汇编taskmgr.exe,可以在发现taskmgr.exe是通过NtQuerySystemInformation枚举进程的，
因此可以通过挂钩系统服务NtQuerySystemInformation修改这个函数的行为，从而实现在任务管理器中隐藏进程的目的，下面就是实现代码。
...........
阅读全文

posted @ 2007-08-12 20:07 009 阅读(2397) | 评论 (0) | 编辑收藏

Hook API监视驱动的加载

摘要: .386
.model flat, stdcall
option casemap:none

;**************************************************************************************************
include f:\masm32\include\w2k\ntstatus.inc
include f:\masm32\include\w2k\ntddk.inc
include f:\masm32\include\w2k\ntoskrnl.inc
includelib f:\masm32\lib\w2k\ntoskrnl.lib
include f:\masm32\Macros\Strings.mac

;************************************************************************************************** 阅读全文

posted @ 2007-08-12 19:46 009 阅读(717) | 评论 (0) | 编辑收藏

WMI监视注册表

摘要: Set wmiServices = GetObject("winmgmts:root/default")
Set wmiSink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")
wmiServices.ExecNotificationQueryAsync wmiSink, _
"SELECT * FROM RegistryKeyChangeEvent WHERE Hive='HKEY_LOCAL_MACHINE' AND " & _
"KeyPath='SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run'"
WScript.Echo "Listening..." & vbCrLf
While(1)
WScript.Sleep 1000
Wend
Sub SINK_OnObjectReady(wmiObject, wmiAsyncContext)
WScript.Echo "R 阅读全文

posted @ 2007-08-12 17:53 009 阅读(760) | 评论 (0) | 编辑收藏

提供几个一句话变形(未测试)

posted @ 2007-08-12 16:50 009 阅读(520) | 评论 (0) | 编辑收藏

Cookie注入手工检测方法

摘要: 例:
http://xxxx/view.asp?id=1
先访问http://xxxx/view.asp?id=1
接着在浏览器里输入：
javascript:alert(document.cookie="id="+escape("1 and 1=1"))
再访问http://xxxx/view.asp（未出错）
再输入：javascript:alert(document.cookie="id="+escape("188 and 1=2"))
再访问：http://xxxx/view.asp（出错）
该页面出错就表示可以用Cookie注入。
..........
阅读全文

posted @ 2007-08-12 16:45 009 阅读(882) | 评论 (0) | 编辑收藏

暂停Windows文件保护

摘要: #include <stdio.h>
#include <windows.h>

typedef DWORD(__stdcall *CPP) (DWORD param1, PWCHAR param2, DWORD param3);
void Disable_WFP()
{
HINSTANCE hmod=LoadLibrary("sfc_os.dll");
CPP SetSfcFileException;
// the function is stored at the fifth ordinal in sfc_os.dll
SetSfcFileException= (CPP)GetProcAddress(hmod,(LPCSTR)5);
SetSfcFileException(0, L"c:\\windows\\system32\\calc.exe",-1);
//Now we can modify the system file in a complete stealth. 阅读全文

posted @ 2007-08-12 16:37 009 阅读(319) | 评论 (0) | 编辑收藏

编写进程/线程监视器(ZT)

摘要: 有时候我们希望能够动态监视系统中任意进程/线程的创建与销毁。为了达
到此目的我翻阅了 DDK 手册，发现其提供的 PsSetCreateProcessNotifyRoutine(),
PsSetCreateThreadNotifyRoutine(),等函数可以实现此功能。这两个函数可以
通过向系统注册一个 CALLBALCK 函数来监视进程/线程等操作。函数原形如下：

NTSTATUS
PsSetCreateProcessNotifyRoutine(
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine,
IN BOOLEAN Remove
);
......................
阅读全文

posted @ 2007-08-12 16:21 009 阅读(426) | 评论 (0) | 编辑收藏

SSDT Hook 的妙用－对抗 Ring0 Inline Hook(ZT)

摘要: 1,SSDT
SSDT即系统服务描述符表，它的结构如下(参考《Undocument Windows 2000 Secretes》第二章):
typedef struct _SYSTEM_SERVICE_TABLE
{
PVOID ServiceTableBase; //这个指向系统服务函数地址表
PULONG ServiceCounterTableBase;
ULONG NumberOfService; //服务函数的个数,NumberOfService*4 就是整个地址表的大小
ULONG ParamTableBase;
}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;
.........
阅读全文

posted @ 2007-08-12 16:20 009 阅读(757) | 评论 (0) | 编辑收藏

对抗杀毒软件的内存扫描(ZT)

摘要:
通过对 NtReadVirtualMemory 挂钩，防止其他进程对保护的模块进行扫描，
如果发现其他进程读被保护模块的内存，则返回0
typedef struct _LDR_DATA_TABLE_ENTRY {
LIST_ENTRY InLoadOrderLinks;
LIST_ENTRY InMemoryOrderLinks;
LIST_ENTRY InInitializationOrderLinks;
PVOID DllBase;
.........
阅读全文

posted @ 2007-08-12 16:18 009 阅读(426) | 评论 (0) | 编辑收藏

实用级反主动防御rootkit设计思路(ZT)

摘要:
目录：
反主动防御rootkit的产生背景及其必要性
反网络访问主动防御
反API钩子进程行为主动防御
反系统Notify进程行为主动防御
绕过监控进入ring0安装驱动
实用级反主动防御rootkit的通用性问题
..............
阅读全文

posted @ 2007-08-11 11:05 009 阅读(407) | 评论 (0) | 编辑收藏

从PE文件入手绕过IAT HOOK(ZT)

摘要:
API HOOK估计没必要多介绍了,简单的来讲就是通过某种方式来改变API函数的工作流程.一般来讲有两种方法:IAT HOOK和INLINE HOOK.前一种应用较为广泛,一方面因为简单,还一方面因为稳定.他的原理就是改写进程空间中要HOOK的API所在模块的函数引入表,使之指向替换原 API函数的函数地址(某些木马就是利用IAT HOOK的方式,挂钩NtQuerySystemInformation的方式来实现进程隐藏).这里感觉还是有必要再说一点INLINE HOOK,这个复杂点,直接进入被HOOK的API函数内部去修改他,采用指令call或者jmp等,迫使API改变流程,跳到自己的替换函数中.通常都是在函数头部前10个字节内修改.
...............
阅读全文

posted @ 2007-08-10 19:31 009 阅读(3270) | 评论 (0) | 编辑收藏

应用层InLine Hook(ZT)

摘要: 1.得到本进程中包含被挂接API的DLL的基地址,该DLL代码节的虚拟偏移以及该API的入口地址.API入口地址-(代码节虚拟偏移+DLL基地址)=函数入口相对于代码节的偏移
2.得到目标进程的PID,以及目标进程包含被挂接API的DLL的基地址(注意一般来说和前面自身进程的值相同)前面得到的函数入口偏移+DLL基地址+代码节虚拟偏移=目标进程API函数入口地址
3.打开目标进程读目标进程API函数入口处128字节代码到自身进程的变量中.然后调用z0mbie写的LDE32库取该API函数入口处几个指令的长度当长度>=5时保存该长度(这样防止后面取指令没有对齐)
4.为我们的假函数在目标进程加载的DLL中分配空间(我是把代码写在PE头的后面)这儿要改该内存的属性为读写执行(PAGE_EXECUTE_READWRITE).为了方便编译我们的假函数是写在代码段中的,在运行时要把这些代码移到数据段,然后把第3步取出的指令放在数据段中相应的偏移处.同时还要在数据段中设置跳回真实函数的JMP指令.
5.把真正的API开头的指令改为JMP到我们的假函数中.
. 阅读全文

posted @ 2007-08-09 23:06 009 阅读(1531) | 评论 (0) | 编辑收藏

什么是PE文件及PE文件的结构和简述(ZT)

摘要:
一个操作系统的可执行文件格式在很多方面是这个系统的一面镜子。虽然学习一个可执行文件格式通常不是一个程序员的首要任务，但是你可以从这其中学到大量的知识。在这篇文章中，我会给出 MicroSoft 的所有基于 win32系统（如winnt,win9x）的可移植可执行（PE）文件格式的详细介绍。在可预知的未来，包括 Windows2000 , PE 文件格式在 MicroSoft 的操作系统中扮演一个重要的角色。如果你在使用 Win32 或 Winnt ，那么你已经在使用 PE 文件了。甚至你只是在 Windows3.1 下使用 Visual C++ 编程，你使用的仍然是 PE 文件（Visual C++ 的 32 位 MS-DOS 扩展组件用这个格式）。简而言之，PE 格式已经普遍应用，并且在不短的将来仍是不可避免的。现在是时候找出这种新的可执行文件格式为操作系统带来的东西了。
我最后不会让你盯住无穷无尽的十六进制Dump，也不会详细讨论页面的每一个单独的位的重要性。代替的，我会向你介绍包含在 PE 文件中的概念，并且将他们和你每天都遇到的东西联系起来。比如，线程局部变量阅读全文

posted @ 2007-08-09 22:21 009 阅读(3353) | 评论 (0) | 编辑收藏

C++字符串完全指引(ZT)

摘要: 许多关于字符串的问题，在文章最后的参考文章中，相信有更加深入和精确的描述。不过关于中文的处理，我想先补充一些自己的看法。
背景：WIN32 console程序，使用printf输出字符串。相信许多人都有使用过。
平台：VisualStudio.NET 2003（MFC 7.1）。
MBCS UNICODE
蔡 b2 cc 21 85
A 41 00 41 00
程序段1：使用std::string
#include
.........
阅读全文

posted @ 2007-08-09 22:01 009 阅读(1548) | 评论 (0) | 编辑收藏

关于PE可执行文件的修改(ZT)

摘要: 1、PE文件框架构成
DOS MZ header
DOS stub
PE header
Section table
Section 1
Section 2
Section ...
Section n
上表是PE文件结构的总体层次分布。所有 PE文件(甚至32位的 DLLs) 必须以一个简单的 DOS MZ header 开始，在偏移0处有DOS下可执行文件的“MZ标志”，有了它，一旦程序在DOS下执行，DOS就能识别出这是有效的执行体，然后运行紧随 MZ header 之后的 DOS stub。DOS stub实际上是个有效的EXE，在不支持 PE文件格式的操作系统中，它将简单显示一个错误提示，类似于字符串 " This program cannot run in DOS mode " 或者程序员可根据自己的意图实现完整的 DOS代码。通常DOS stub由汇编器/编译器自动生成，对我们的用处不是很大，它简单调用中断21h服务9来显示字符串"This program cannot run in DOS mode"。阅读全文

posted @ 2007-08-05 22:15 009 阅读(498) | 评论 (0) | 编辑收藏

Windows应用程序捆绑核心编程(ZT)

摘要:
1.1 引言 1.2 内存管理概述 1.3 虚拟内存访问
1.4 文件的内存映射 1.4 文件的内存映射(2) 1.5 深入认识指针的真正含义
1.6 本章小结参考文献
第2章再谈PE文件结构
2.1 引言 2.2 PE文件格式概述 2.3 PE文件结构
2.3 PE文件结构 2.4 如何获取PE文件中的OEP 2.5 PE文件中的资源
2.6 一个修改PE可执行文件的完整实例(1) 2.6 一个修改PE可执行文件的完整实例(2) 2.7 本章小结
参考文献
第3章进程之间通信概述及初级技术
3.1 引言 3.2 进程通信概述 3.3 使用自定义消息通信
3.4 使用WM_COPYDATA消息通信 3.4 使用WM_COPYDATA消息通信 3.5 使用内存读写函数和内存映射文件通信
3.6 使用动态链接库通信 3.7 使用Windows剪贴板通信 3. 阅读全文

posted @ 2007-08-05 22:11 009 阅读(4758) | 评论 (1) | 编辑收藏

Creating the smallest possible PE executable

摘要: Tiny PE
Creating the smallest possible PE executable
This work was inspired by the Tiny PE challenge by Gil Dabah. The object of the challenge was to write the smallest PE file that downloads a file from the Internet and executes it.

In the process of writing increasingly smaller PE files for the challenge I learned a lot of interesting details about the PE file format and the Windows loader. The goal of this document is to preserve this knowledge for future reference. In t 阅读全文

posted @ 2007-08-04 22:21 009 阅读(476) | 评论 (0) | 编辑收藏

vc的编译参数优化(ZT)

摘要:
/*
Author: void#ph4nt0m.org
*/

// 编译器 cl.exe(Visual C++ 6.0)
// 没有做任何优化情况下,编译大小为:16K
// 编译优化后: 1K (用16进制编辑器把尾部的0x00去掉: 712bytes)
#include
#pragma comment(lib,"kernel32.lib")

// 作用: 指定节对齐为512字节
#pragma comment(linker, "/align:512")
..........
阅读全文

posted @ 2007-08-04 22:15 009 阅读(290) | 评论 (0) | 编辑收藏

向其他进程注入代码的三种方法(ZT)

摘要: 我们在Code project（www.codeproject.com）上可以找到许多密码间谍程序（译者注：那些可以看到别的程序中密码框内容的软件），他们都依赖于Windows钩子技术。要实现这个还有其他的方法吗？有！但是，首先，让我们简单回顾一下我们要实现的目标，以便你能弄清楚我在说什么。

要读取一个控件的内容，不管它是否属于你自己的程序，一般来说需要发送 WM_GETTEXT 消息到那个控件。这对edit控件也有效，但是有一种情况例外。如果这个edit控件属于其他进程并且具有 ES_PASSWORD 风格的话，这种方法就不会成功。只有“拥有（OWNS）”这个密码控件的进程才可以用 WM_GETTEXT 取得它的内容。所以，我们的问题就是：如何让下面这句代码在其他进程的地址空间中运行起来：

::SendMessage( hPwdEdit, WM_GETTEXT, nMaxChars, psBuffer );

一般来说，这个问题有三种可能的解决方案：

1. 把你的代码放到一个DLL中；然后用 wind 阅读全文

posted @ 2007-08-03 15:10 009 阅读(478) | 评论 (0) | 编辑收藏

Inject your code to a Portable Executable file

摘要:
0序文
也许你想要了解一个病毒，注入到程序内部并且感染他的方法，或者你对保护你特殊的PE文件的数据感兴趣。你能使用这篇文章的源代码构建你自定义的EXE BUILDER。如果用在好的方面，他能教你怎样保护或封装加密你的PE文件，但是同样如果你用在邪恶的方面，他能产生一个病毒。然而，我写这篇文章的目的是前者，所以，我不会为不道德的使用负责。

1预备知识
按照主题这篇文章不需要特殊的预备知识，如果你已经了解了DEBUGGER和文件结构，那么我建议你跳过2，3部分，这两部分是为毫无基础的人准备的。

2.PE文件的结构
规定PE文件的结构为WINDOWS OS提供了最好的方式去执行代码，并且储存一个程序运行所需要的基本数据。例如常量，变量等等。
................
阅读全文

posted @ 2007-08-03 14:58 009 阅读(1676) | 评论 (0) | 编辑收藏

VC编译OCCI的解决方案

摘要: 1、增加接口。在OcciDml.hpp中增加extern "C" int __declspec(dllexport) funA(char* a); 在OcciDml.cpp中将函数声明修改为extern "C" int __declspec(dllexport) funA(char* a)
2、修改头文件。在需要引入的所有类中，替换为
#ifndef OCCI_ORACLE
#define WIN32COMMON
#include "occi.h"
using namespace oracle::occi;
using namespace std;
#endif
否则会出现错误如下：
d:\oracle\ora92\oci\include\occicontrol.h(1132) : error C2995: 'getVector' : template function has already been defined
d:\oracle\ora92\oci\include\occicommon 阅读全文

posted @ 2007-08-03 14:27 009 阅读(1496) | 评论 (0) | 编辑收藏

扭曲变换加密(ZT)

摘要:
一，一般来讲，加密就是加壳

我们经常考虑，一个可执行文件，怎么样加密才能安全呢？

一般用的手段，是加壳。加壳工具的工作原理，就是把可执行文件的代码与
数据都进行加密变换，作为数据存放。生成的目标文件入口代码是加壳软件
准备好的防跟踪代码。经过漫长的防跟踪代码后，会把原始可执行文件的代码
与数据段恢复，然后跳转到原来的入口处，继续运行。这样做的缺点是，不管
你的加密多强，防跟踪代码多牛，只要一运行，在内存中就全部恢复了。只要
把内存映象dump下来，反汇编一下，就清清楚楚了。甚至有工具可以直接把
dump下来的内存映象存为可执行文件。这样加密就彻底失败了。
...... 阅读全文

posted @ 2007-08-03 13:06 009 阅读(305) | 评论 (0) | 编辑收藏

OllyDbg Format String 0day分析和利用(ZT)

摘要:
OD作为一款Ring3下的调试器以优异的性能博得了广大密界爱好者的一致肯定，就在最近milw0rm上公布了一个OD 0 day的POC（OllyDbg v110 Local Format String Exploit），以前写了很多栈溢出的漏洞，却很少有Format String的漏洞，这次OD给我们提供了一个熟悉Format String问题的机会（只有原版的OD存在此问题，看雪论坛的修改版OllyIce不存在此问题）。
........ 阅读全文

posted @ 2007-08-03 13:03 009 阅读(309) | 评论 (0) | 编辑收藏

编写Unicode有效的Shellcode(ZT)

摘要:
对于溢出爱好者来说，能够编写Shellcode是一个必备的基本技能,特别是能应对各种在实际情况中对Shellcode存在各种限制条件的时候，这种能力就显得尤为重要了。黑防2007年第二期中介绍了纯字母数字的Shellcode的编写，在3期中的WinRAR 7z溢出中就派上了用场。Unicode大家应该不陌生,在一些大型程序中，比如Word、Excel考虑到不同语言平台的差异性,都会使用 Unicode，在利用这些漏洞的时候，我们以往的Shellcode就难以适用了。一个普通的Down&Exec的Shellcode经过 MultiByteToWideChar函数转换成Unicode后
..........
阅读全文

posted @ 2007-08-03 13:02 009 阅读(361) | 评论 (0) | 编辑收藏

公告

常用链接

留言簿(113)

随笔分类

随笔档案

文章分类

相册

Link

搜索

最新评论

阅读排行榜

评论排行榜

酒水不犯茶水叶的离去，是风的追求还是树的不挽留？
BlogJava \| 首页 \| 发新随笔 \| 发新文章 \| 联系 \| 聚合 \| 管理	随笔：325 文章：0 评论：612 引用：0