2026年9月11日
Windows Ark
摘要： Windows Ark 支持 Windows7 ~ Windows11 25h2 实现枚举当前系统进程 实现枚举系统进程模块 实现枚举系统进程子线程 实现枚举系统进程私有句柄 实现枚举系统进程内存 实现枚举系统进程窗口 实现枚举当前系统驱动 实现枚举当前系统驱动IRP函数 实现枚举当前系统驱动IAT 阅读全文
posted @ 2026-09-11 17:55 旅行者-林小小 阅读(12) 评论(0) 推荐(0)
记录一次32位物理地址内存读写漏驱分析
摘要： 记录一次32位物理地址内存读写漏驱分析 最近无所事事逛论坛的时候发现网友分享了一个漏驱, 测试了一下 Windows11 能正常加载, 就分析了一下 分析 拖入ida中这个驱动的函数没多少, 一开始就是正常的初始化设备、IRP分发函数和链接符号 DispathRoutine_110FC函数中主要分这 阅读全文
posted @ 2026-09-11 17:36 旅行者-林小小 阅读(12) 评论(0) 推荐(0)
2026年9月10日
Ob回调
摘要： Ob回调 1. 利用其进行进程保护 // 定义 LDR_DATA_TABLE_ENTRY 结构体 typedef struct _LDR_DATA_TABLE_ENTRY { LIST_ENTRY InLoadOrderLinks;// 这个成员把系统所有加载(可能是停止没被卸载)已经读取到内存中, 阅读全文
posted @ 2026-09-10 23:02 旅行者-林小小 阅读(8) 评论(0) 推荐(0)
注册表回调
摘要： 注册表回调 [!NOTE] Note 注册表监控 NTSTATUS RegeditMonitorRoutine( PVOID CallbackContext, // 上下文 PVOID Argument1, // 操作类型（只是操作编号，不是指针） PVOID Argument2 // 操作详细信息 阅读全文
posted @ 2026-09-10 23:01 旅行者-林小小 阅读(9) 评论(0) 推荐(0)
模块回调
摘要： 模块回调 1. 模块加载的监控 [!NOTE] Note 模块加载的监控 // 模块加载回调 VOID ImageMonitorRoutine( PUNICODE_STRING FullImageName, HANDLE ProcessId, PIMAGE_INFO ImageInfo ) { PE 阅读全文
posted @ 2026-09-10 23:01 旅行者-林小小 阅读(10) 评论(0) 推荐(0)
线程回调
摘要： 线程回调 监控线程创建和退出 PsSetCreateThreadNotifyRoutin PsSetCreateThreadNotifyRoutineEx 0环驱动代码 #include <Ntifs.h> // 导出未声明函数 PCHAR PsGetProcessImageFileName(PEP 阅读全文
posted @ 2026-09-10 23:01 旅行者-林小小 阅读(7) 评论(0) 推荐(0)
进程回调
摘要： 进程回调 PsSetCreateProcessNotifyRoutine PsSetCreateProcessNotifyRoutineEx 进程创建的监视 VOID ProcessMonitorRoutine( HANDLE ParentId, // 父进程ID HANDLE ProcessId, 阅读全文
posted @ 2026-09-10 23:01 旅行者-林小小 阅读(8) 评论(0) 推荐(0)
WFP 拦截指定进程与端口
摘要： WFP 拦截指定进程与端口 要拦截指定进程与端口数据包我们可以在ALE层，也就是内核建立起连接，同时回复ACK包给服务端进行拦截。其对应着 WFP 的​FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4过滤点。 关键代码 1. 获取WFP过滤引擎句柄(后续要用到) HANDLE O 阅读全文
posted @ 2026-09-10 22:37 旅行者-林小小 阅读(17) 评论(0) 推荐(0)
TDI 拦截指定进程与端口
摘要： TDI 拦截指定进程与端口 学习TDI的过程中发现Tdi Hook 貌似在Win7 x64以上的系统中不行了？随后多方尝试包括Hook tdx.sys, 也没有达到预期的效果，笔者功力有限最后选择了Tdi Filter。(如有新发现后续会更新) 不了解原理的可以先看看这几篇文章： https://w 阅读全文
posted @ 2026-09-10 22:17 旅行者-林小小 阅读(5) 评论(0) 推荐(0)
关于 Windows 反虚拟机技术(总结)
摘要： 关于 Windows 反虚拟机技术(总结) 1. Anti-VM 技术 1.1 CPUID 指令 // EAX 为 0x1 时, 执行 CPUID 指令, ECX 第 31 位为0则在物理机, 为1则在虚拟机 BOOL CheckVmCpuid() { BOOL dwVmFlag = FALSE; 阅读全文
posted @ 2026-09-10 16:57 旅行者-林小小 阅读(17) 评论(0) 推荐(0)