摘要：
Windows注册表（Registry）是Windows操作系统中用于存储系统配置信息、用户设置和应用程序数据的一个集中式数据库。它是一个层次结构的数据库，由键（Key）和值（Value）组成，这些键和值被用于存储各种系统和应用程序的配置信息。 阅读全文
摘要：
Zlib是一个开源的数据压缩库，提供了一种通用的数据压缩和解压缩算法。它最初由`Jean-Loup Gailly`和`Mark Adler`开发，旨在成为一个高效、轻量级的压缩库，其被广泛应用于许多领域，包括网络通信、文件压缩、数据库系统等。其压缩算法是基于`DEFLATE`算法，这是一种无损数据压缩算法，通常能够提供相当高的压缩比。在Zlib项目中的`contrib`目录下有一个`minizip`子项目，minizip实际上不是`zlib`库的一部分，而是一个独立的开源库，用于处理ZIP压缩文件格式。它提供了对ZIP文件的创建和解压的简单接口。minizip在很多情况下与`zlib`一起使用，因为ZIP压缩通常使用了`DEFLATE`压缩算法。通过对`minizip`库的二次封装则可实现针对目录的压缩与解压功能。 阅读全文
摘要：
本章将继续探索内核中解析PE文件的相关内容，PE文件中FOA与VA,RVA之间的转换也是很重要的，所谓的FOA是文件中的地址，VA则是内存装入后的虚拟地址，RVA是内存基址与当前地址的相对偏移，本章还是需要用到`《内核解析PE结构导出表》`中所封装的`KernelMapFile()`映射函数，在映射后对其PE格式进行相应的解析，并实现转换函数。 阅读全文
摘要：
在笔者上一篇文章`《内核解析PE结构导出表》`介绍了如何解析内存导出表结构，本章将继续延申实现解析PE结构的PE头，PE节表等数据，总体而言内核中解析PE结构与应用层没什么不同，在上一篇文章中`LyShark`封装实现了`KernelMapFile()`内存映射函数，在之后的章节中这个函数会被多次用到，为了减少代码冗余，后期文章只列出重要部分，读者可以自行去前面的文章中寻找特定的片段。PE结构（Portable Executable Structure）是Windows操作系统用于执行可执行文件和动态链接库（DLL）的标准格式。节表（Section Table）是PE结构中的一个部分，它记录了可执行文件或DLL中每个区域的详细信息，例如代码、数据、资源等。 阅读全文
摘要：
在笔者的上一篇文章`《内核特征码扫描PE代码段》`中`LyShark`带大家通过封装好的`LySharkToolsUtilKernelBase`函数实现了动态获取内核模块基址，并通过`ntimage.h`头文件中提供的系列函数解析了指定内核模块的`PE节表`参数，本章将继续延申这个话题，实现对PE文件导出表的解析任务，导出表无法动态获取，解析导出表则必须读入内核模块到内存才可继续解析，所以我们需要分两步走，首先读入内核磁盘文件到内存，然后再通过`ntimage.h`中的系列函数解析即可。 阅读全文
摘要：
本文介绍了几种常见的排序算法的实现，包括冒泡排序、选择排序、插入排序、希尔排序、归并排序和快速排序。冒泡排序通过多次遍历数组，比较并交换相邻元素，逐步将较小元素“浮”到数组顶端，时间复杂度为O(n^2)。选择排序通过选择未排序部分的最小元素进行交换，逐步完成整个数组排序，同样具有O(n^2)的时间复杂度。插入排序将数组分为已排序和未排序部分，逐个插入未排序元素到已排序部分的合适位置，时间复杂度为O(n^2)。希尔排序是插入排序的改进版本，通过分组插入排序，最终得到有序数组，时间复杂度在O(n log n)到O(n^2)之间。归并排序采用分治策略，递归拆分和合并数组，时间复杂度始终为O(n log n)，但需要额外空间。最后，快速排序通过选择基准值划分数组，并递归排序子数组，平均时间复杂度为O(n log n)，但最坏情况下为O(n^2)。这些算法各有特点，适用于不同场景。 阅读全文
摘要：
在Windows编程中，经常会遇到需要对数据进行压缩和解压缩的情况，数据压缩是一种常见的优化手段，能够减小数据的存储空间并提高传输效率。Windows提供了这些API函数，本文将深入探讨使用Windows API进行数据压缩与解压缩的过程，主要使用`ntdll.dll`库中的相关函数。 阅读全文