随笔分类 -  Windows

摘要：0x00 相关说明： Windows应用层如果要遍历当前进程所加载的模块可以使用WIN32API通过进程快照来实现 通过PEB来遍历进程模块没有WIN32API的使用痕迹，在某些场合更加好用 其中32位应用程序的 PEB 的地址可以通过 fs:[0x30]获取，fs:[0]为TEB结构的地址 0x0 阅读全文

摘要：0x00 前期准备： 主机安装Windbg 主机安装VMware 在VMware中安装Win10LTSC并且激活 主机配置符号文件相关的环境变量： 0x01 虚拟系统配置： 在虚拟系统设置的硬件一栏，删除打印机之后添加串口(打印机会占用串口1)： 配置串口： 0x02 修改虚拟系统启动选项： 在虚拟 阅读全文

摘要：0x00 原理说明： Windows系统基于消息驱动，每个进程都有各自的消息队列，每个进程都会GetMessage 调用WIN32API SetWindowsHookEx 可以在系统的钩子链中安装一个指定的钩子 如果使用 SetWindowsHookEx 安装 WH_GETMESSAGE 类型的钩子 阅读全文

摘要：0x00 原理介绍： 上一篇文章介绍了在Windows下如何在其他进程创建一个远程线程：https://www.cnblogs.com/DarkBright/p/10820582.html 调用 CreateRemoteThread 创建远程线程所需要的过程函数的标准形式为： Win32编程加载DL 阅读全文

摘要：0x00 相关介绍： Windows系统的进程拥有独立的虚拟地址空间 进程之间的虚拟地址空间互不干扰 在应用层，进程A可以通过WIN32API CreateRemoteThread 在进程B的虚拟地址空间中创建一个线程并且执行 0x01 核心API说明： 参数说明： 1、 hProcess：进程句柄 阅读全文

摘要：0x00 相关说明： Windows系统中，进程句柄是进程最重要的属性之一，在应用层可以通过进程句柄直接对指定进程的内存空间进行读写。 0x01 通过进程名获取进程句柄： 首先通过进程名得到进程ID： 1、 通过 CreateToolhelp32Snapshot 获得当前系统中所有进程的快照 2、 阅读全文