2026年9月3日
解析ObpKernelHandleTable内核句柄表
摘要： 解析ObpKernelHandleTable内核句柄表 1. 分析过程 ObpKernelHandleTable里面记录的是所有驱动打开或者创建的对象信息。 研究ObpReferenceObjectByHandleWithTag函数时，发现了ObpKernelHandleTable这张表, 谷歌搜索 阅读全文
posted @ 2026-09-03 19:09 旅行者-林小小 阅读(11) 评论(0) 推荐(0)
Cow 注入
摘要： Cow 注入 1. 原理 Cow注入其实就是Hook Ntdll、User32.dll等被写保护(写拷贝)的DLL函数, 从而达到监控的目的。 那么何为写拷贝, 在物理页中是没有写拷贝一说，但是为了方便线性地址的管理，所以有了 VAD 二叉树管理 在每个进程中都有一个 EPROCESS 结构体， 在 阅读全文
posted @ 2026-09-03 17:46 旅行者-林小小 阅读(6) 评论(0) 推荐(0)
InstrumentationCallback 注入
摘要： InstrumentationCallback 注入 1. 原理 在KPROCESS结构体中，包含一个名为InstrumentationCallback的域（在Windbg调试器中利用相应的命令能够看到该域，具体如下所示）： nt!_KPROCESS +0x000 Header : _DISPATC 阅读全文
posted @ 2026-09-03 17:46 旅行者-林小小 阅读(20) 评论(0) 推荐(0)
NtSuspendProcess
摘要： NtSuspendProcess 1. 分析 不多说开始逆向分析： NTSTATUS NTAPI NtSuspendProcess( HANDLE ProcessHandle ) { NTSTATUS NtStatus = STATUS_SUCCESS; PEPROCESS Process = 0; 阅读全文
posted @ 2026-09-03 17:46 旅行者-林小小 阅读(23) 评论(0) 推荐(0)
2026年9月2日
Windows x64常用注入和Hook
摘要： Windows x64常用注入和Hook 1. UserMode 远程线程注入代码 [!NOTE] 将DLL名称注入到目标进程的内存中，随后通过CreateRemoteThread创建远程线程，执行函数LoadLibrary调用相关DLL [代码示例]: // UserMode远程线程注入代码 // 阅读全文
posted @ 2026-09-02 17:51 旅行者-林小小 阅读(19) 评论(0) 推荐(0)
2026年8月11日
NET 双机调试
摘要： NET 双机调试 笔者之前一直用的虚拟机，虽然调试很方便但涉及一些虚拟化技术和硬件情况的环境还是需要真机调试，上网找了一下有COM、USB2.0、USB3.0这些方式，但因为我真机电脑对应的USB并不支持调试也没有COM接口，所以最终用了NET方式来调试真机。 需要的道具 两台Windows10以上 阅读全文
posted @ 2026-08-11 01:49 旅行者-林小小 阅读(10) 评论(0) 推荐(0)
2026年4月19日
NTFS文件管理系统
摘要： NTFS文件管理系统 建议先了解一下前面介绍的FAT文件系统 LCN与VCN NTFS文件系统使用逻辑簇号（LCN）和虚拟簇号（VCN）对分区进行管理。 逻辑簇号：既对分区内的第一个簇到最后一个簇进行编号(也就是FAT文件系统中的磁盘簇号)，NTFS使用逻辑簇号对簇进行定位。 虚拟簇号：既将文件所占 阅读全文
posted @ 2026-04-19 15:16 旅行者-林小小 阅读(73) 评论(0) 推荐(0)
FAT文件管理系统
摘要： FAT文件管理系统 FAT磁盘结构 首先Fat（File allocation table）文件系统在磁盘中的结构如下： 上面两张图可以结合着观看， 其中 DBR及其保留扇区​ 对应的是 引导扇区 ; ​FAT1​对应的是文件分配表1(主FAT) ; 而FAT2​对应的是文件分配表2也是FAT1的备 阅读全文
posted @ 2026-04-19 15:16 旅行者-林小小 阅读(83) 评论(0) 推荐(0)
2026年4月18日
FltMgr.sys 驱动解析
摘要： FltMgr.sys 驱动解析 FltMgr!DriverEntry 这个函数一上来就初始化了一个全局变量FltGlobals​，其结构体为 fltmgr!_GLOBALS​ ，随后设置该成员变量 GFlags 为1(根据后续分析此位意味着FltMgr驱动已经加载)。 随后调用了 FsRtlRegi 阅读全文
posted @ 2026-04-18 20:20 旅行者-林小小 阅读(83) 评论(0) 推荐(0)
Minifilter微过滤框架解析
摘要： Minifilter微过滤框架解析 在分析MiniFilter框架前请具备相关框架开发经验。 MiniFilter过滤的初始化 首先是MiniFilter的初始化，基本代码如下： //TODO - 列出要过滤的所有请求。 //根据Altitude的值从大到小的顺序先调用preCreate函数。而Fi 阅读全文
posted @ 2026-04-18 20:06 旅行者-林小小 阅读(49) 评论(0) 推荐(0)