摘要：
Qt是一种C++编程框架，用于构建图形用户界面（GUI）应用程序和嵌入式系统。Qt由Qt公司（前身为Nokia）开发，提供了一套跨平台的工具和类库，使开发者能够轻松地创建高效、美观、可扩展的应用程序。其被广泛用于开发桌面应用程序、嵌入式系统、移动应用程序等。无论是初学者还是经验丰富的开发者，Qt都为构建高质量、可维护的应用程序提供了丰富的工具和支持。
阅读全文
posted @ 2023-12-09 11:24
lyshark
阅读(6781)
推荐(3)
摘要：
在笔者上一篇文章`《内核层InlineHook挂钩函数》`中介绍了通过替换`函数`头部代码的方式实现`Hook`挂钩，对于ARK工具来说实现扫描与摘除`InlineHook`钩子也是最基本的功能，此类功能的实现一般可在应用层进行，而驱动层只需要保留一个`读写字节`的函数即可，将复杂的流程放在应用层实现是一个非常明智的选择，与`《内核实现进程反汇编》`中所使用的读写驱动基本一致，本篇文章中的驱动只保留两个功能，控制信号`IOCTL_GET_CUR_CODE`用于读取函数的前16个字节的内存，信号`IOCTL_SET_ORI_CODE`则用于设置前16个字节的内存。
阅读全文
posted @ 2023-12-08 21:49
lyshark
阅读(803)
推荐(0)
摘要：
当我们开发Windows应用程序时，通常会涉及到使用资源（Resource）的情况。资源可以包括图标、位图、字符串等，它们以二进制形式嵌入到可执行文件中。在某些情况下，我们可能需要从可执行文件中提取自定义资源并保存为独立的文件。在这篇博客文章中，我们将讨论如何使用C++和WinAPI实现这个目标。首先，让我们考虑一个场景：我们有一个 Windows 应用程序，其中包含了一个自定义的二进制资源比如默认的配置文件，我们希望将这个资源提取出来并保存为一个独立的文件以用于初始化程序配置项。为了实现这个目标，我们可以使用`Windows API`提供的相关函数，来完成对资源的释放工作。
阅读全文
posted @ 2023-12-08 19:53
lyshark
阅读(1740)
推荐(0)
摘要：
内核挂钩的原理是一种劫持系统函数调用的技术，用于在运行时对系统函数进行修改或者监控。其基本思想是先获取要被劫持的函数的地址，然后将该函数的前15个字节的指令保存下来，接着将自己的代理函数地址写入到原始函数上，这样当API被调用时，就会默认转向到自己的代理函数上执行，从而实现函数的劫持。
阅读全文
posted @ 2023-12-07 21:40
lyshark
阅读(1103)
推荐(0)
摘要：
在计算机安全领域，进程间通信（IPC）一直是一个备受关注的话题。在本文中，我们将探讨如何使用Windows邮件槽（Mailslot）实现ShellCode的跨进程传输。邮件槽提供了一种简单而有效的单向通信机制，使得任何进程都能够成为邮件槽服务器，并通过`UDP`通信向其他进程发送数据。邮件槽是Windows操作系统提供的一种用于本地进程间通信的机制。它允许一个进程创建一个命名的槽，并允许其他进程通过该槽向创建它的进程发送消息。在本文中，我们将使用邮件槽实现进程间的`ShellCode`传输。如果需要双向通信或更复杂的通信需求，需要考虑其他`IPC`机制，例如命名管道、套接字等。
阅读全文
posted @ 2023-12-07 18:11
lyshark
阅读(709)
推荐(4)
摘要：
在计算机安全领域，ShellCode是一段用于利用系统漏洞或执行特定任务的机器码。为了增加攻击的难度，研究人员经常探索新的传递`ShellCode`的方式。本文介绍了一种使用共享内存的方法，通过该方法，两个本地进程可以相互传递ShellCode，从而实现一种巧妙的本地传输手段。如果你问我为何在本地了还得这样传，那我只能说在某些时候我们可能会将`ShellCode`打散，而作为客户端也不需要时时刻刻在本地存放`ShellCode`代码，这能保证客户端的安全性。
阅读全文
posted @ 2023-12-06 20:37
lyshark
阅读(871)
推荐(2)
摘要：
ShellCode是一种独立于应用程序的机器代码，通常用于实现特定任务，如执行远程命令、注入恶意软件或利用系统漏洞。在网络安全领域，研究Shellcode是理解恶意软件和提高系统安全性的关键一环。本文将深入探讨如何在C语言中提取Shellcode，并通过XOR加密技术增加其混淆程度。最后，我们将演示如何将Shellcode写入文件并在内存中执行。
阅读全文
posted @ 2023-12-06 19:43
lyshark
阅读(977)
推荐(0)
摘要：
在Windows系统中，通过网络邻居可以方便地查看本地网络中的共享资源和计算机。通过使用Windows API中的一些网络相关函数，我们可以实现枚举网络邻居信息的功能，获取连接到本地网络的其他计算机的相关信息。本文将介绍一个简单的C++程序，使用Windows API枚举网络邻居信息，并获取对端名称、本机名称、主机名称以及主机IP等信息。
阅读全文
posted @ 2023-12-05 15:44
lyshark
阅读(551)
推荐(0)
摘要：
Ping 使用 Internet 控制消息协议（ICMP）来测试主机之间的连接。当用户发送一个 ping 请求时，则对应的发送一个 ICMP Echo 请求消息到目标主机，并等待目标主机回复一个 ICMP Echo 回应消息。如果目标主机接收到请求并且网络连接正常，则会返回一个回应消息，表示主机之间的网络连接是正常的。如果目标主机没有收到请求消息或网络连接不正常，则不会有回应消息返回。
阅读全文
posted @ 2023-12-05 15:10
lyshark
阅读(859)
推荐(0)
摘要：
网络通信在今天的信息时代中扮演着至关重要的角色，而对网络数据包进行捕获与分析则是网络管理、网络安全等领域中不可或缺的一项技术。本文将深入介绍基于原始套接字的网络数据包捕获与分析工具，通过实时监控网络流量，实现抓取流量包内的FTP通信数据，并深入了解数据传输的细节，捕捉潜在的网络问题以及进行安全性分析。原始套接字是一种底层的网络编程方式，允许程序直接访问网络协议栈，无需操作系统进行任何处理。在Windows平台，可以通过`SOCK_RAW`套接字类型来创建原始套接字。本文的代码示例基于Winsock2库实现，允许我们以最底层的方式捕获网络数据包。
阅读全文
posted @ 2023-12-04 19:50
lyshark
阅读(635)
推荐(0)
摘要：
JSON（JavaScript Object Notation）是一种轻量级的数据交换格式，它以易于阅读和编写的文本形式表示数据。JSON 是一种独立于编程语言的数据格式，因此在不同的编程语言中都有对应的解析器和生成器。JSON 格式的设计目标是易于理解、支持复杂数据结构和具有良好的可扩展性。
阅读全文
posted @ 2023-12-04 18:47
lyshark
阅读(534)
推荐(0)
摘要：
MiniFilter 微过滤驱动是相对于`SFilter`传统过滤驱动而言的，传统文件过滤驱动相对来说较为复杂，且接口不清晰并不符合快速开发的需求，为了解决复杂的开发问题，微过滤驱动就此诞生，微过滤驱动在编写时更简单，多数`IRP`操作都由过滤管理器`(FilterManager或Fltmgr)`所接管，因为有了兼容层，所以在开发中不需要考虑底层`IRP`如何派发，更无需要考虑兼容性问题，用户只需要编写对应的回调函数处理请求即可，这极大的提高了文件过滤驱动的开发效率。
阅读全文
posted @ 2023-12-01 16:42
lyshark
阅读(849)
推荐(0)
摘要：
在笔者上一篇文章`《内核监视LoadImage映像回调》`中`LyShark`简单介绍了如何通过`PsSetLoadImageNotifyRoutine`函数注册回调来`监视驱动`模块的加载，注意我这里用的是`监视`而不是`监控`之所以是监视而不是监控那是因为`PsSetLoadImageNotifyRoutine`无法实现参数控制，而如果我们想要控制特定驱动的加载则需要自己做一些事情来实现，如下`LyShark`将解密如何实现屏蔽特定驱动的加载。
阅读全文
posted @ 2023-12-01 16:32
lyshark
阅读(568)
推荐(0)
摘要：
在笔者上一篇文章`《内核注册并监控对象回调》`介绍了如何运用`ObRegisterCallbacks`注册`进程与线程`回调，并通过该回调实现了`拦截`指定进行运行的效果，本章`LyShark`将带大家继续探索一个新的回调注册函数，`PsSetLoadImageNotifyRoutine`常用于注册`LoadImage`映像监视，当有模块被系统加载时则可以第一时间获取到加载模块信息，需要注意的是该回调函数内无法进行拦截，如需要拦截则需写入返回指令这部分内容将在下一章进行讲解，本章将主要实现对模块的监视功能。
阅读全文
posted @ 2023-12-01 16:29
lyshark
阅读(608)
推荐(0)
摘要：
在笔者上一篇文章`《内核枚举进程与线程ObCall回调》`简单介绍了如何枚举系统中已经存在的`进程与线程`回调，本章`LyShark`将通过对象回调实现对进程线程的`句柄`监控，在内核中提供了`ObRegisterCallbacks`回调，使用这个内核`回调`函数，可注册一个`对象`回调，不过目前该函数`只能`监控进程与线程句柄操作，通过监控进程或线程句柄，可实现保护指定进程线程不被终止的目的。
阅读全文
posted @ 2023-12-01 16:26
lyshark
阅读(906)
推荐(0)
摘要：
本篇文章与上一篇文章`《内核注册并监控对象回调》`所使用的方式是一样的都是使用`ObRegisterCallbacks`注册回调事件，只不过上一篇博文中`LyShark`将回调结构体`OB_OPERATION_REGISTRATION`中的`ObjectType`填充为了`PsProcessType`和`PsThreadType`格式从而实现监控进程与线程，本章我们需要将该结构填充为`IoFileObjectType`以此来实现对文件的监控，文件过滤驱动不仅仅可以用来监控文件的打开，还可以用它实现对文件的保护，一旦驱动加载则文件是不可被删除和改动的。
阅读全文
posted @ 2023-12-01 15:47
lyshark
阅读(522)
推荐(0)
摘要：
在笔者上一篇文章`《内核枚举Registry注册表回调》`中我们通过特征码定位实现了对注册表回调的枚举，本篇文章`LyShark`将教大家如何枚举系统中的`ProcessObCall`进程回调以及`ThreadObCall`线程回调，之所以放在一起来讲解是因为这两中回调在枚举是都需要使用通用结构体`_OB_CALLBACK`以及`_OBJECT_TYPE`所以放在一起来讲解最好不过。
阅读全文
posted @ 2023-12-01 15:42
lyshark
阅读(560)
推荐(0)
摘要：
在笔者上一篇文章`《内核枚举LoadImage映像回调》`中`LyShark`教大家实现了枚举系统回调中的`LoadImage`通知消息，本章将实现对`Registry`注册表通知消息的枚举，与`LoadImage`消息不同`Registry`消息不需要解密只要找到`CallbackListHead`消息回调链表头并解析为`_CM_NOTIFY_ENTRY`结构即可实现枚举。
阅读全文
posted @ 2023-12-01 15:38
lyshark
阅读(449)
推荐(0)
摘要：
在笔者之前的文章`《内核特征码搜索函数封装》`中我们封装实现了特征码定位功能，本章将继续使用该功能，本次我们需要枚举内核`LoadImage`映像回调，在Win64环境下我们可以设置一个`LoadImage`映像加载通告回调，当有新驱动或者DLL被加载时，回调函数就会被调用从而执行我们自己的回调例程，映像回调也存储在数组里，枚举时从数组中读取值之后，需要进行位运算解密得到地址。
阅读全文
posted @ 2023-12-01 15:30
lyshark
阅读(538)
推荐(0)
摘要：
Minifilter 是一种文件过滤驱动，该驱动简称为微过滤驱动，相对于传统的`sfilter`文件过滤驱动来说，微过滤驱动编写时更简单，其不需要考虑底层RIP如何派发且无需要考虑兼容性问题，微过滤驱动使用过滤管理器`FilterManager`提供接口，由于提供了管理结构以及一系列管理API函数，所以枚举过滤驱动将变得十分容易。
阅读全文
posted @ 2023-12-01 15:27
lyshark
阅读(771)
推荐(0)
摘要：
在 Windows 操作系统内核中，PspCidTable 通常是与进程（Process）管理相关的数据结构之一。它与进程的标识和管理有关，每个进程都有一个唯一的标识符，称为进程 ID（PID）。与之相关的是客户端 ID，它是一个结构，其中包含唯一标识进程的信息。这样的标识符在进程管理、线程管理和内核对象的创建等方面都起到关键作用。
阅读全文
posted @ 2023-12-01 15:24
lyshark
阅读(600)
推荐(0)
摘要：
WinInet（Windows Internet）是 Microsoft Windows 操作系统中的一个 API 集，用于提供对 Internet 相关功能的支持。它包括了一系列的函数，使得 Windows 应用程序能够进行网络通信、处理 HTTP 请求、FTP 操作等。WinInet 提供了一套完整的网络通信工具，使得开发者能够轻松地构建支持网络功能的应用程序，涵盖了从简单的 HTTP 请求到复杂的文件传输等多种网络操作。
阅读全文
posted @ 2023-12-01 15:13
lyshark
阅读(1187)
推荐(0)
摘要：
FTP（文件传输协议）是一种用于在网络上传输文件的标准协议。它属于因特网标准化的协议族之一，为文件的上传、下载和文件管理提供了一种标准化的方法，在Windows系统中操作FTP上传下载可以使用WinINet库，WinINet（Windows Internet）库是 Windows 操作系统中的一个网络 API 库，用于访问 Internet 上的资源。它提供了一组函数，使开发人员能够创建网络应用程序，例如通过 HTTP 协议下载文件，发送 HTTP 请求，处理 cookie 等，本章将通过使用WinInet所提供的接口实现FTP文件上传下载功能，使得用户可以通过代码的方式上传或下载文件与FTP服务器交互。
阅读全文
posted @ 2023-11-30 18:26
lyshark
阅读(1877)
推荐(0)
摘要：
Crypto++ (CryptoPP) 是一个用于密码学和加密的 C++ 库。它是一个开源项目，提供了大量的密码学算法和功能，包括对称加密、非对称加密、哈希函数、消息认证码 (MAC)、数字签名等。Crypto++ 的目标是提供高性能和可靠的密码学工具，以满足软件开发中对安全性的需求。RSA（Rivest-Shamir-Adleman）是一种非对称加密算法，由三位密码学家Ron Rivest、Adi Shamir和Leonard Adleman于1977年共同提出。RSA算法被广泛应用于信息安全领域，特别是在数字签名和密钥交换等场景中。
阅读全文
posted @ 2023-11-30 11:31
lyshark
阅读(2189)
推荐(0)
摘要：
Crypto++ (CryptoPP) 是一个用于密码学和加密的 C++ 库。它是一个开源项目，提供了大量的密码学算法和功能，包括对称加密、非对称加密、哈希函数、消息认证码 (MAC)、数字签名等。Crypto++ 的目标是提供高性能和可靠的密码学工具，以满足软件开发中对安全性的需求。高级加密标准（Advanced Encryption Standard，AES）是一种对称密钥加密标准，用于保护电脑上的敏感数据。AES是由美国国家标准与技术研究院（NIST）于2001年确定的，它取代了过时的数据加密标准（Data Encryption Standard，DES）。
阅读全文
posted @ 2023-11-30 11:13
lyshark
阅读(1755)
推荐(0)
摘要：
Crypto++ (CryptoPP) 是一个用于密码学和加密的 C++ 库。它是一个开源项目，提供了大量的密码学算法和功能，包括对称加密、非对称加密、哈希函数、消息认证码 (MAC)、数字签名等。Crypto++ 的目标是提供高性能和可靠的密码学工具，以满足软件开发中对安全性的需求。该库包含了许多常见的密码学算法，如AES、DES、RSA、DSA、SHA等，使开发者能够轻松地在他们的应用程序中实现安全性和加密功能。Crypto++ 是以面向对象的方式设计的，因此它的使用通常涉及使用类和对象来表示不同的密码学概念和算法。
阅读全文
posted @ 2023-11-30 09:06
lyshark
阅读(1546)
推荐(3)
摘要：
Zlib是一个开源的数据压缩库，提供了一种通用的数据压缩和解压缩算法。它最初由Jean-Loup Gailly和Mark Adler开发，旨在成为一个高效、轻量级的压缩库，其被广泛应用于许多领域，包括网络通信、文件压缩、数据库系统等。其压缩算法是基于DEFLATE算法，这是一种无损数据压缩算法，通常能够提供相当高的压缩比。在软件开发中，文件的压缩和解压缩是一项常见的任务，而ZIP是一种被广泛应用的压缩格式。为了方便地处理ZIP压缩和解压缩操作，开发者通常使用各种编程语言和库来实现这些功能。本文将聚焦于一个简化的C++实现，通过分析代码，我们将深入了解其设计和实现细节。
阅读全文
posted @ 2023-11-29 16:12
lyshark
阅读(1136)
推荐(3)
摘要：
在计算机科学中，搜索算法是一种用于在数据集合中查找特定元素的算法。C语言作为一种强大的编程语言，提供了多种搜索算法的实现方式。本文将介绍C语言中的四种常见搜索算法其中包括（线性查找，二分法查找，树结构查找，分块查找），并提供每种算法的简单实现示例。
阅读全文
posted @ 2023-11-29 11:18
lyshark
阅读(1157)
推荐(0)
摘要：
AES（Advanced Encryption Standard）是一种对称加密算法，它是目前广泛使用的加密算法之一。AES算法是由美国国家标准与技术研究院（NIST）于2001年发布的，它取代了原先的DES（Data Encryption Standard）算法，成为新的标准。AES是一种对称加密算法，意味着加密和解密使用相同的密钥。这就要求密钥的安全性非常重要，因为任何拥有密钥的人都能进行加密和解密操作。其密钥长度，包括128位、192位和256位。不同长度的密钥提供了不同级别的安全性，通常更长的密钥长度意味着更高的安全性。
阅读全文
posted @ 2023-11-28 20:10
lyshark
阅读(3833)
推荐(4)
摘要：
HTTP（Hypertext Transfer Protocol）是一种用于传输超文本的协议。它是一种无状态的、应用层的协议，用于在计算机之间传输超文本文档，通常在 Web 浏览器和 Web 服务器之间进行数据通信。HTTP 是由互联网工程任务组（IETF）定义的，它是基于客户端-服务器模型的协议，其中客户端向服务器发送请求，服务器以相应的数据作为响应。HTTP 协议是建立在 TCP/IP 协议之上的，通常使用默认的端口号80。
阅读全文
posted @ 2023-11-28 14:53
lyshark
阅读(3459)
推荐(0)
浙公网安备 33010602011771号