摘要：
首先为什么要实行分块传输字符串，一般而言`Socket`套接字最长发送的字节数为`8192`字节，如果发送的字节超出了此范围则后续部分会被自动截断，此时将字符串进行分块传输将显得格外重要，分块传输的关键在于封装实现一个字符串切割函数，将特定缓冲区内的字串动态切割成一个个小的子块，当切割结束后会得到该数据块的个数，此时通过套接字将个数发送至服务端此时服务端在依次循环接收数据包直到接收完所有数据包之后在组合并显示即可。 阅读全文
摘要：
在本节，我们将继续深入探讨套接字通信技术，并介绍一种常见的用法，实现反向远程命令执行功能。对于安全从业者而言，经常需要在远程主机上执行命令并获取执行结果。本节将介绍如何利用 `_popen()` 函数来启动命令行进程，并将输出通过套接字发送回服务端，从而实现远程命令执行的功能。在实现反向远程命令执行时，我们可以使用 `_popen(buf, "r")` 函数来执行特定的命令，并将其输出重定向到一个可读的缓冲区中。这个缓冲区将保存命令的输出内容，我们可以将其发送回控制程序，也就是服务端，从而实现远程命令执行的目标。 阅读全文
摘要：
Winsock是Windows操作系统上的套接字API，用于在网络上进行数据通信。套接字通信是一种允许应用程序在计算机网络上进行实时数据交换的技术。通过使用Windows提供的API，应用程序可以创建一个套接字来进行数据通信。这个套接字可以绑定到一个端口，以允许其他应用程序连接它。另外，Winsock可以使用TCP/IP、UDP等协议来完成不同类型的数据传输任务。在网络应用程序开发中，套接字通信可以帮助应用程序开发者实现客户端/服务端模型，并实现数据的可靠传输。一般套接字通信需要经历，创建套接字(Socket)，绑定(Bind)，监听(Listen)，接受(Accept)，连接(Connect)，发送数据(Send)，接收数据(Receive)，关闭(Close)等几个关键步骤，当读者需要使用网络通信时需引入`winsock2.h`头文件，并通过`#pragma comment(lib,"ws2_32.lib")`包含对应库，需要注意的是该头文件与`windows.h`头冲突，如果两者同时存在则会出现编译不通过的情况。 阅读全文
摘要：
C/C++语言是一种通用的编程语言，具有高效、灵活和可移植等特点。C语言主要用于系统编程，如操作系统、编译器、数据库等；C语言是C语言的扩展，增加了面向对象编程的特性，适用于大型软件系统、图形用户界面、嵌入式系统等。C/C++语言具有很高的效率和控制能力，但也需要开发人员自行管理内存等底层资源，对于初学者来说可能会有一定的难度。 阅读全文
摘要：
C/C++语言是一种通用的编程语言，具有高效、灵活和可移植等特点。C语言主要用于系统编程，如操作系统、编译器、数据库等；C语言是C语言的扩展，增加了面向对象编程的特性，适用于大型软件系统、图形用户界面、嵌入式系统等。C/C++语言具有很高的效率和控制能力，但也需要开发人员自行管理内存等底层资源，对于初学者来说可能会有一定的难度。 阅读全文
摘要：
C/C++语言是一种通用的编程语言，具有高效、灵活和可移植等特点。C语言主要用于系统编程，如操作系统、编译器、数据库等；C语言是C语言的扩展，增加了面向对象编程的特性，适用于大型软件系统、图形用户界面、嵌入式系统等。C/C++语言具有很高的效率和控制能力，但也需要开发人员自行管理内存等底层资源，对于初学者来说可能会有一定的难度。 阅读全文
摘要：
C/C++语言是一种通用的编程语言，具有高效、灵活和可移植等特点。C语言主要用于系统编程，如操作系统、编译器、数据库等；C语言是C语言的扩展，增加了面向对象编程的特性，适用于大型软件系统、图形用户界面、嵌入式系统等。C/C++语言具有很高的效率和控制能力，但也需要开发人员自行管理内存等底层资源，对于初学者来说可能会有一定的难度。 阅读全文
摘要：
C/C++语言是一种通用的编程语言，具有高效、灵活和可移植等特点。C语言主要用于系统编程，如操作系统、编译器、数据库等；C语言是C语言的扩展，增加了面向对象编程的特性，适用于大型软件系统、图形用户界面、嵌入式系统等。C/C++语言具有很高的效率和控制能力，但也需要开发人员自行管理内存等底层资源，对于初学者来说可能会有一定的难度。 阅读全文
摘要：
DirectX 9 是由微软开发的一组多媒体应用程序接口API，用于创建和运行基于Windows平台的多媒体应用程序，尤其是游戏。它是DirectX系列中的一个版本，于2002年发布，是DirectX系列中的一个重要版本，DirectX 9在其发布时引入了许多新的功能和性能优化，成为当时PC游戏开发的主要标准，许多经典的PC游戏使用了DX9作为其图形和音频渲染引擎。虽然后续出现了更多强大的引擎，但本质上都是可以兼容Dx9的。在使用Dx9引擎之前读者需要自行下载该绘制库，当然在课件中笔者已经为大家准备了绿色版，读者可自行解压到指定目录下，在目录下有一个Developer Runtime其内部是引擎运行时所需要的运行环境，读者可根据不同的需求安装对应位数的运行库，安装成功后则可配置开发目录，一般而言我们只需要关注Include引入目录，以及Lib库目录即可。 阅读全文
摘要：
本节将向读者介绍如何使用键盘鼠标操控模拟技术，键盘鼠标操控模拟技术是一种非常实用的技术，可以自动化执行一些重复性的任务，提高工作效率，在Windows系统下，通过使用各种键盘鼠标控制函数实现动态捕捉和模拟特定功能的操作。有时我们经常需要进行重复性的鼠标操作，例如繁琐的点击、拖拽。这些任务可能消耗大量时间和精力，为了解决这个问题，可自行设计并实现一个简单而强大的鼠标录制回放工具，旨在帮助用户轻松录制鼠标动作，通过借助鼠标录制回放工具，用户可以轻松实现自动化操作，从而解放双手。 阅读全文
摘要：
本节将向读者介绍如何使用键盘鼠标操控模拟技术，键盘鼠标操控模拟技术是一种非常实用的技术，可以自动化执行一些重复性的任务，提高工作效率，在Windows系统下，通过使用各种键盘鼠标控制函数实现动态捕捉和模拟特定功能的操作。键盘鼠标的模拟是实现自动化的必备流程，通常我们可以使用`keybd_event()`实现对键盘的击键模拟，使用`SetCursorPos()`实现对鼠标的模拟，使用两者的配合读者可以很容易的实现对键盘鼠标的控制，本节将依次封装实现，模拟键盘鼠标控制功能，读者可根据自己的实际需求选用不同的函数片段。 阅读全文
摘要：
本节将介绍如何使用`Windows API`中的`SetWindowsHookEx`和`RegisterHotKey`函数来实现键盘鼠标的监控。这些函数可以用来设置全局钩子，通过对特定热键挂钩实现监控的效果，两者的区别在于`SetWindowsHookEx`函数可以对所有线程进行监控，包括其他进程中的线程，而`RegisterHotKey`函数只能对当前线程进行监控。首先我们来实现注册热键功能，注册热键可以使用`RegisterHotKey()`函数，该函数可以将一个热键与当前应用程序或线程绑定，使得当用户按下热键时，系统会自动将该热键的消息发送到该应用程序或线程中 阅读全文
摘要：
XEDParse 是一款开源的x86指令编码库，该库用于将MASM语法的汇编指令级转换为对等的机器码，并以XED格式输出，目前该库支持x86、x64平台下的汇编编码，XEDParse的特点是高效、准确、易于使用，它可以良好地处理各种类型的指令，从而更容易地确定一段程序的指令集。XEDParse库可以集成到许多不同的应用程序和工具中，因此被广泛应用于反汇编、逆向工程、漏洞分析和入侵检测等领域。XEDParse 引擎非常易于使用，读者在使用时只需要通过`XEDPARSE xed = { 0 };`定义一个结构，并通过向`xed.cip`内输送一条汇编指令，当调用`XEDParseAssemble(&xed)`函数时则可实现对特定汇编指令的编码操作，读者只需要通过输出`xed.dest`以及`xed.instr`中的值，则可实现对特定一条汇编指令的编码 阅读全文
摘要：
Capstone 是一款开源的反汇编框架，目前该引擎支持的CPU架构包括x86、x64、ARM、MIPS、POWERPC、SPARC等，Capstone 的特点是快速、轻量级、易于使用，它可以良好地处理各种类型的指令，支持将指令转换成AT&T汇编语法或Intel汇编语法等多种格式。Capstone的库可以集成到许多不同的应用程序和工具中，因此被广泛应用于反汇编、逆向工程、漏洞分析和入侵检测等领域，著名的比如IDA Pro、Ghidra、Hopper Disassembler等调试器都在使用该引擎。 阅读全文
摘要：
我们继续延申调试事件的话题，实现进程转存功能，进程转储功能是指通过调试API使获得了目标进程控制权的进程，将目标进程的内存中的数据完整地转存到本地磁盘上，对于加壳软件，通常会通过加密、压缩等手段来保护其代码和数据，使其不易被分析。在这种情况下，通过进程转储功能，可以将加壳程序的内存镜像完整地保存到本地，以便进行后续的分析。在实现进程转储功能时，主要使用调试API和内存读写函数。具体实现方法包括：以调试方式启动目标进程，将其暂停在运行前的位置；让目标进程进入运行状态；使用ReadProcessMemory函数读取目标进程内存，并将结果保存到缓冲区；将缓冲区中的数据写入文件；关闭目标进程的调试状态。 阅读全文
摘要：
理解了如何通过调试事件输出当前进程中寄存器信息，那么实现加载DLL模块也会变得很容易实现，加载DLL模块主要使用`LOAD_DLL_DEBUG_EVENT`这个通知事件，该事件可检测进程加载的模块信息，一旦有新模块被加载或装入那么则会触发一个通知事件，利用该方法并配合磁盘路径获取函数则可很容易的实现进程模块加载的监控。 阅读全文
摘要：
当读者需要获取到特定进程内的寄存器信息时，则需要在上述代码中进行完善，首先需要编写`CREATE_PROCESS_DEBUG_EVENT`事件，程序被首次加载进入内存时会被触发此事件，在该事件内首先我们通过`lpStartAddress`属性获取到当前程序的入口地址，并通过`SuspendThread`暂停程序的运行，当被暂停后则我没就可以通过`ReadProcessMemory`读取当前位置的一个字节机器码，目的是保存以便于后期的恢复，接着通过`WriteProcessMemory`向对端`(void*)dwAddr`地址写出一个`0xCC`断点，该断点则是`int3`停机指令，最后`ResumeThread`恢复这个线程的运行，此时程序中因存在断点，则会触发一个`EXCEPTION_DEBUG_EVENT`异常事件。 阅读全文
摘要：
本章笔者将通过`Windows`平台下自带的调试API接口实现对特定进程的动态转存功能，首先简单介绍一下关于调试事件的相关信息，调试事件的建立需要依赖于`DEBUG_EVENT`这个特有的数据结构，该结构用于向调试器报告调试事件。当一个程序发生异常事件或者被调试器附加时，就会产生对应的`DEBUG_EVENT`调试事件，通常`DEBUG_EVENT`包含了多种调试类型，包括异常事件、进程创建事件、线程创建事件、进程退出事件和线程退出事件等等，我们只需要动态捕捉这些调试事件并作相应的处理即可实现更多有用的功能。 阅读全文
摘要：
Windows 线程同步是指多个线程一同访问共享资源时，为了避免资源的并发访问导致数据的不一致或程序崩溃等问题，需要对线程的访问进行协同和控制，以保证程序的正确性和稳定性。Windows提供了多种线程同步机制，以适应不同的并发编程场景。以上同步机制各有优缺点和适用场景，开发者应根据具体应用场景进行选择和使用。在线程同步的实现过程中，需要注意竞争条件和死锁的处理，以确保程序中的线程能协同工作，共享资源能够正确访问和修改。线程同步是并发编程中的重要基础，对于开发高效、稳定的并发应用至关重要。 阅读全文
摘要：
在Windows平台下创建多线程有两种方式，读者可以使用`CreateThread`函数，或者使用`beginthreadex`函数均可，两者虽然都可以用于创建多线程环境，但还是存在一些差异的，首先`CreateThread`函数它是`Win32 API`的一部分，而`_beginthreadex`是`C/C++`运行库的一部分，在参数返回值类型方面，`CreateThread`返回线程句柄，而`_beginthreadex`返回线程ID，当然这两者在使用上并没有太大的差异，但为了代码更加通用笔者推荐使用后者，因为后者与平台无关性更容易实现跨平台需求。 阅读全文
摘要：
TLS（Thread Local Storage）用来在进程内部每个线程中存储私有的数据。每个线程都会拥有独立的`TLS`存储空间，可以在`TLS`存储空间中保存线程的上下文信息、变量、函数指针等。TLS其目的是为了解决多线程变量同步问题，声明为TLS变量后，当线程去访问全局变量时，会将这个变量拷贝到自己线程中的TLS空间中，以防止同一时刻内多次修改全局变量导致变量不稳定的情况，先来看一段简单的案例 阅读全文
摘要：
RDTSC时钟检测同样可实现反调试检测，使用时钟检测方法是利用`rdtsc`汇编指令，它返回至系统重新启动以来的时钟数，并且将其作为一个64位的值存入`EDX:EAX`寄存器中，通过运行两次`rdstc`指令，然后计算出他们之间的差值，即可判定对方是否在调试我们的程序。 阅读全文
摘要：
通常可以通过在程序中设置异常处理函数，并在其中发起一个异常，然后判断程序是否已经被调试器附加来实现反调试。如果异常处理函数没有被触发，则说明程序已经被调试器附加；如果异常处理函数被触发，则说明程序没有被调试器附加。安装异常处理函数并手动触发，此时如果被调试器附加，则会不走异常处理流程，此时`IsDebug`将会返回默认的`False`，并直接走`_asm call pBuff;`在调试器不忽略`int3`中断的情况下，调试将会被终止。 阅读全文
摘要：
首先这是一种比较奇特的反调试思路，通过检测自身父进程来判定是否被调试，原理非常简单，我们的系统在运行程序的时候，绝大多数应用程序都是由`Explorer.exe`这个父进程派生而来的子进程，也就是说如果没有被调试其得到的父进程就是`Explorer.exe`的进程PID，而如果被调试则该进程的父进程PID就会变成调试器的PID值，通过对父进程的检测即可实现检测是否被调试的功能。 阅读全文
摘要：
STARTUPINFO 结构体，可以用来指定新进程的主窗口外观风格、背景颜色、标题等信息，也可以用来实现反调试技术。通常情况下，我们可以将`STARTUPINFO`结构体中的`dwFlags`成员设置为`STARTF_DEBUGONLYTHISPROCESS`，以防止调试器附加到当前进程。设置了`STARTF_DEBUGONLYTHISPROCESS`后，如果尝试通过调试器附加到该进程，则调试器将直接失败并退出。 阅读全文