lyshark

2023年11月15日

摘要：本章将继续探索驱动开发中的基础部分，定时器在内核中同样很常用，在内核中定时器可以使用两种，即IO定时器，以及DPC定时器，一般来说IO定时器是DDK中提供的一种，该定时器可以为间隔为N秒做定时，但如果要实现毫秒级别间隔，微秒级别间隔，就需要用到DPC定时器，如果是秒级定时其两者基本上无任何差异，本章将简单介绍`IO/DPC`这两种定时器的使用技巧。阅读全文

posted @ 2023-11-15 09:00 lyshark 阅读(479) 评论(0) 推荐(0)

2.5 Windows驱动开发：DRIVER_OBJECT对象结构

摘要：在Windows内核中，每个设备驱动程序都需要一个`DRIVER_OBJECT`对象，该对象由系统创建并传递给驱动程序的`DriverEntry`函数。驱动程序使用此对象来注册与设备对象和其他系统对象的交互，并在操作系统需要与驱动程序进行交互时使用此对象。`DRIVER_OBJECT`对象还包含了与驱动程序所管理的设备对象相关联的设备扩展结构，以及用于处理`I/O`请求的函数指针等信息。它是驱动程序与操作系统内核之间的桥梁，用于协调设备的操作和管理。阅读全文

posted @ 2023-11-15 08:58 lyshark 阅读(505) 评论(0) 推荐(0)

2023年11月14日

2.4 Windows驱动开发：内核字符串拷贝与比较

摘要：在上一篇文章`《内核字符串转换方法》`中简单介绍了内核是如何使用字符串以及字符串之间的转换方法，本章将继续探索字符串的拷贝与比较，与应用层不同内核字符串拷贝与比较也需要使用内核专用的API函数，字符串的拷贝往往伴随有内核内存分配，我们将首先简单介绍内核如何分配堆空间，然后再以此为契机简介字符串的拷贝与比较。阅读全文

posted @ 2023-11-14 08:57 lyshark 阅读(478) 评论(0) 推荐(0)

2.3 Windows驱动开发：内核字符串转换方法

摘要：在内核编程中字符串有两种格式`ANSI_STRING`与`UNICODE_STRING`，这两种格式是微软推出的安全版本的字符串结构体，也是微软推荐使用的格式，通常情况下`ANSI_STRING`代表的类型是`char *`也就是`ANSI`多字节模式的字符串，而`UNICODE_STRING`则代表的是`wchar*`也就是`UNCODE`类型的字符，如下文章将介绍这两种字符格式在内核中是如何转换的。阅读全文

posted @ 2023-11-14 08:55 lyshark 阅读(641) 评论(0) 推荐(0)

2023年11月13日

2.2 Windows驱动开发：内核自旋锁结构

摘要：提到自旋锁那就必须要说链表，在上一篇`《内核中的链表与结构体》`文章中简单实用链表结构来存储进程信息列表，相信读者应该已经理解了内核链表的基本使用，本篇文章将讲解自旋锁的简单应用，自旋锁是为了解决内核链表读写时存在线程同步问题，解决多线程同步问题必须要用锁，通常使用自旋锁，自旋锁是内核中提供的一种高IRQL锁，用同步以及独占的方式访问某个资源。阅读全文

posted @ 2023-11-13 17:05 lyshark 阅读(675) 评论(0) 推荐(0)

2.1 Windows驱动开发：内核链表与结构体

摘要：在`Windows`内核中，为了实现高效的数据结构操作，通常会使用链表和结构体相结合的方式进行数据存储和操作。内核提供了一个专门用于链表操作的数据结构`LIST_ENTRY`，可以用来描述一个链表中的每一个节点。使用链表来存储结构体时，需要在结构体中嵌入一个`LIST_ENTRY`类型的成员变量，用来连接相邻的节点。通过一些列链表操作函数，如`InitializeListHead、InsertHeadList、InsertTailList、RemoveEntryList`等，可以对链表中的结构体进行插入、删除、遍历等操作。阅读全文

posted @ 2023-11-13 17:03 lyshark 阅读(667) 评论(0) 推荐(0)

2.8 CE修改器：寻找共享代码

摘要：本关我们将学习共享代码，在C语言中角色属性都是以结构体的方式进行存储的，而结构体所存储的信息都是连续性的，这一关我们将会解释如何处理游戏中的共用代码，这种代码是通用在除了自己以外的其他同类型对像上的常常你在修改游戏的时候，你找到了一个单位的健康值或是你自己角色的生命值，你会发现一种情况，如果你把生命值相关代码移除的话，其结果是你的角色无敌，但你的敌人也无敌了，这就是共享代码的问题。阅读全文

posted @ 2023-11-13 08:57 lyshark 阅读(541) 评论(0) 推荐(0)

2.7 CE修改器：多级指针查找

摘要：在本步骤中，你需要使用多级指针的概念来查找健康值真正的地址并修改它。多级指针就是一个指针的指针，也就是第一个指针指向第二个指针，第二个指针指向第三个指针，以此类推，最终指向你想要访问的地址。首先，你需要按照跟第 6 步类似的方式找到健康值的地址，并分析汇编代码以查找指向健康值地址的指针。然后，你需要找到指向这个指针的指针，并按照同样的方式分析汇编指令和偏移量，找出下一个指向指针的指针。继续这个过程，直到无法进一步查找，通常是当你找到一个静态基址时，地址将以绿色标示。阅读全文

posted @ 2023-11-13 08:56 lyshark 阅读(1070) 评论(0) 推荐(0)

2.6 CE修改器：代码注入功能

摘要：从本关开始，各位会初步接触到CE的反汇编功能，这也是CE最强大的功能之一。在第6关的时候我们说到指针的找法，用基址定位动态地址。但这一关不用指针也可以进行修改，即使对方是动态地址，且功能更加强大。代码注入是将一小段你写出的代码注入到目标进程中并执行它的技巧。在这一步教程中，你将有一个健康值和一个每按一次将减少 1 点健康值的按钮，你的任务是利用"代码注入"，使每按一次按钮增加2点的健康值。阅读全文

posted @ 2023-11-13 08:55 lyshark 阅读(887) 评论(0) 推荐(0)

2.5 CE修改器：寻找数值指针

摘要：上一步阐述了如何使用代码替换功能对付变化位置的数据地址，但这种方法往往不能达到预期的效果，所以我们需要学习如何利用指针，在本关的`Tutorial.exe`窗口下面有两个按钮，一个会改变数值，另一个不但能改变数值而且还会改变数值在内存中存储的位置。接下来我们将找到内存中的基址，为什么要找指针，在前面的教程中，如果各位细心观察的话就会发现在笔者截图中的出现地址和你的地址并不相同。也就是说，这些地址是一直在变化的，我们把它叫做动态地址，我们必须寻找到该动态地址的基址，并以此来保证唯一性。阅读全文

posted @ 2023-11-13 08:54 lyshark 阅读(730) 评论(0) 推荐(0)

2.4 CE修改器：代码替换功能

摘要：代码替换功能，需要使用 Cheat Engine 工具的“代码查找”功能，来查找游戏数据存储在内存中的地址。首先找到当前数值的存储地址，并将其添加到下方地址列表中。然后右键单击该地址，并选择“找出是什么改写了这个地址”，将弹出一个空白窗口。接着，点击本教程窗口上的“改变数值”按钮，并返回 Cheat Engine，如果操作没有问题，在空白窗口中将出现一些汇编代码。选中代码并点击“替换”按钮，将其替换为什么也不做的代码（空指令），同时，修改后的代码也将放置在“高级选项”的代码列表中保存。点击“停止”，游戏将以正常方式继续运行，关闭窗口。现在，再次点击教程窗口上的“改变数值”，如果锁定速度足够快，“下一步”按钮将变为可点击状态。提示：在锁定地址时，如果速度足够快，“下一步”按钮也会变为可点击状态。阅读全文

posted @ 2023-11-13 08:53 lyshark 阅读(1261) 评论(0) 推荐(0)

2023年11月12日

3.2 IDAPro脚本IDC常用函数

摘要： IDA Pro内置的IDC脚本语言是一种灵活的、C语言风格的脚本语言，旨在帮助逆向工程师更轻松地进行反汇编和静态分析。IDC脚本语言支持变量、表达式、循环、分支、函数等C语言中的常见语法结构，并且还提供了许多特定于反汇编和静态分析的函数和操作符。由于其灵活性和可扩展性，许多逆向工程师都喜欢使用IDC脚本语言来自动化反汇编和静态分析过程，以提高效率和准确性。阅读全文

posted @ 2023-11-12 10:29 lyshark 阅读(711) 评论(0) 推荐(0)

2.3 CE修改器：浮点数扫描

摘要：本关需要使用 Cheat Engine 工具对浮点数进行扫描，完成修改任务。浮点数是一种带有小数点的数值，通过“浮点数”扫描方式进行修改。本关中，健康值为单精度浮点数，弹药值为双精度浮点数，需要将这两项数值都修改为 5000 或更高。提示建议禁用“快速扫描”功能，以获取更准确的扫描结果。阅读全文

posted @ 2023-11-12 10:29 lyshark 阅读(2140) 评论(0) 推荐(0)

2.2 CE修改器：未知数值扫描

摘要：本关需要扫描未知数只扫描，要在不知道初始值的情况下找到一个在0到500之间的数值。首先，选择“未知的初始值”扫描方式，在数值类型中选择 4 字节，并点击“首次扫描”以开始扫描。扫描结束后，点击“打我”按钮进行一些操作，回到 Cheat Engine，选择“减少的数值”作为扫描类型，点击“再次扫描”并重复操作直到检索出很少的几个地址。由于该数值在0到500之间，可以挑出最为相似地址，并将其加入到下方的地址列表。接着，将健康值更改为 5000 以便进入下一关。需要记住的重点是，在开始新的扫描之前，务必要先点击“新的扫描”按钮。阅读全文

posted @ 2023-11-12 10:28 lyshark 阅读(621) 评论(0) 推荐(0)

2.1 CE修改器：精确数值扫描

摘要：本关是CE修改器的第一关，用户需要通过 `Cheat Engine` 工具完成精确扫描值。在这个练习中，需要将一个特定的数值（健康值）改变为 1000。首先，要确保数值类型设置正确，默认的是2字节或4字节。接着，选择“精确数值”扫描类型，将健康值填入数值输入框中，点击“首次扫描”。在扫描结果中，如果出现多个地址，可以继续点击打我按钮并输入变更后的健康值来进行“再次扫描”，确定正确的地址。双击左侧列表中的地址可以将其移动到下方的地址列表中并显示其当前值。接着，双击下方地址列表中的数值（或者选择它，按下回车），填写你要修改的数值1000。如果操作正确，"下一步"按钮将变成可点击的状态，本关就算完成了。如果出现错误，可以点击“新的扫描”重新开始扫描，或者点击“打我”查找更多的线索。阅读全文

posted @ 2023-11-12 10:27 lyshark 阅读(900) 评论(0) 推荐(0)

2.0 熟悉CheatEngine修改器

摘要： Cheat Engine 一般简称为CE，它是一款功能强大的开源内存修改工具，其主要功能包括、内存扫描、十六进制编辑器、动态调试功能于一体，且该工具自身附带了脚本工具，可以用它很方便的生成自己的脚本窗体，CE工具可以帮助用户修改游戏或者软件中的内存数据，以获得一些其他的功能，CE可以说是目前最优秀的进程内存修改器，但需要注意的是，它的使用可能会涉及到非法或者违反游戏规则的行为，建议读者在使用 `Cheat Engine` 时要注意自己的行为是否符合相关法律和道德规范。阅读全文

posted @ 2023-11-12 10:27 lyshark 阅读(834) 评论(0) 推荐(0)

2023年11月11日

3.1 IDA Pro编写IDC脚本入门

摘要： IDA Pro内置的IDC脚本语言是一种灵活的、C语言风格的脚本语言，旨在帮助逆向工程师更轻松地进行反汇编和静态分析。IDC脚本语言支持变量、表达式、循环、分支、函数等C语言中的常见语法结构，并且还提供了许多特定于反汇编和静态分析的函数和操作符。由于其灵活性和可扩展性，许多逆向工程师都喜欢使用IDC脚本语言来自动化反汇编和静态分析过程，以提高效率和准确性。阅读全文

posted @ 2023-11-11 11:01 lyshark 阅读(1399) 评论(0) 推荐(0)

3.0 熟悉IDAPro静态反汇编器

摘要： IDA Pro 是一种功能强大且灵活的反汇编工具，可以在许多领域中发挥作用，例如漏洞研究、逆向工程、安全审计和软件开发等，被许多安全专家和软件开发者用于逆向工程和分析二进制代码。它支持大量的二进制文件格式和CPU架构，并提供了强大的反汇编和反编译功能。使用IDA Pro，用户可以查看和编辑汇编代码、查看函数和程序结构，并分析代码执行逻辑和漏洞。此外，IDA Pro还具有脚本编程和插件扩展功能，使用户能够轻松自定义和改进其功能。阅读全文

posted @ 2023-11-11 10:59 lyshark 阅读(837) 评论(0) 推荐(0)

2023年11月10日

19.8 Boost Asio 异或加密传输

摘要：异或加密是一种对称加密算法，通常用于加密二进制数据。异或操作的本质是对两个二进制数字进行比较，如果它们相同则返回0，如果不同则返回1。异或加密使用一把密钥将明文与密文进行异或运算，从而产生密文。同时，使用相同的密钥进行解密将返回原始的明文数据。在异或加密中，加密和解密使用的是相同的密钥。因此，它是一种对称加密算法。由于其简单性和效率，其经常用于嵌入式系统中。阅读全文

posted @ 2023-11-10 12:43 lyshark 阅读(470) 评论(0) 推荐(0)

19.5 Boost Asio 传输结构体

摘要：同步模式下的结构体传输与原生套接字实现方式完全一致，读者需要注意的是在接收参数是应该使用`socket.read_some`函数读取，发送参数则使用`socket.write_some`函数实现，对于套接字的解析同样使用强制指针转换的方法。阅读全文

posted @ 2023-11-10 12:42 lyshark 阅读(390) 评论(0) 推荐(0)

19.9 Boost Asio 同步字典传输

摘要：这里所代指的字典是Python中的样子，本节内容我们将通过使用Boost中自带的`Tokenizer`分词器实现对特定字符串的切割功能，使用Boost Tokenizer，可以通过构建一个分隔符或正则表达式的实例来初始化`tokenizer`。然后，可以使用该实例对输入字符串进行划分。`tokenizer`将在输入字符串中寻找匹配输入模式的标记，并将其拆分为单独的字符串。阅读全文

posted @ 2023-11-10 09:09 lyshark 阅读(376) 评论(0) 推荐(0)

2023年11月9日

19.12 Boost Asio 获取远程进程

摘要：远程进程遍历功能实现原理与远程目录传输完全一致，唯一的区别在于远程进程枚举中使用`EnumProcess`函数枚举当前系统下所有活动进程，枚举结束后函数返回一个`PROCESSENTRY32`类型的容器，其中的每一个成员都是一个进程信息，只需要对该容器进行动态遍历即可得到所有的远程主机列表。服务端代码如下所示，首先代码中通过`read_some`第一次接收到对端进程数量，接着通过第一个循环，将接收到的字符串数据强制转换为`PROCESSENTRY32`类型的结构，并将结构存入`vector`容器内，第二个循环则用于枚举输出我们整理好的容器列表。阅读全文

posted @ 2023-11-09 13:57 lyshark 阅读(395) 评论(0) 推荐(0)

19.11 Boost Asio 获取远程目录

摘要：远程目录列表的获取也是一种很常用的功能，通常在远程控制软件中都存在此类功能，实现此功能可以通过`filesystem.hpp`库中的`directory_iterator`迭代器来做，该迭代器用于遍历目录中的文件和子目录，它允许开发者轻松遍历目录层次结构并对遇到的文件和目录执行各种操作。阅读全文

posted @ 2023-11-09 08:57 lyshark 阅读(402) 评论(0) 推荐(0)

2023年11月8日

19.13 Boost Asio 发送TCP流数据

摘要： Boost框架中默认就提供了针对TCP流传输的支持，该功能可以用来进行基于文本协议的通信，也可以用来实现自定义的协议。一般`tcp::iostream`会阻塞当前线程，直到IO操作完成。首先来看服务端代码，如下所示在代码中首先通过`GetFileSize`读取文件行数，当有了行数我们就可以使用循环的方式依次调用`acceptor.accept(*tcp_stream.rdbuf())`接收客户端的相应请求，并使用`<<`符号向建立了链接的文件内追加字符串数据。阅读全文

posted @ 2023-11-08 13:21 lyshark 阅读(498) 评论(0) 推荐(0)

19.6 Boost Asio 文本压缩传输

摘要： Base64是一种二进制到文本的编码方案，用于将二进制数据转换为`ASCII`字符串格式。它通过将二进制数据流转换为一系列`64`个字符来工作，这些字符都可以安全地传输到设计用于处理文本数据的系统中。如下代码中我们使用Boost中提供的`base64_from_binary`头文件实现两个函数，其中`Base64Decode`函数接收一个字符串并对其进行解压缩操作输出解密后的原始字符串内容，其次`Base64Encode`函数用于将一个原始数据包压缩处理，有了这两个函数的支持，我们只需要在调用发送函数之前对数据进行压缩，在接收数据后在使用对等的函数对其进行解压缩即可，如下是该案例的完整实现。阅读全文

posted @ 2023-11-08 09:05 lyshark 阅读(416) 评论(0) 推荐(0)

公告