摘要：
原文发表于百度空间，2009-03-31 理论结合实践,这是我一贯的学习方法~~实验目的:以实验的方式观察PspCidTable的变化,从中了解Windows句柄表的分配过程.实验器材:Windbg,RunIt(一个可控的不断创建线程的程序),DebugView知识回顾: 如图所示,句柄表的结构根据 阅读全文
posted @ 2018-12-26 20:22
黑月教主
阅读(312)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-03-30 三、当需要申请一个新的二级表(MidLevelTable)时,调用ExpAllocateMidLevelTable函数 五、句柄表的释放比较简单,遍历并释放每个一级表所占内存就可以了~ 阅读全文
posted @ 2018-12-26 19:51
黑月教主
阅读(171)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-03-30 四.句柄表的扩容:已分配的句柄表被用完时,ExpAllocateHandleTableEntrySlow被调用以分配一个新的句柄表,实现对句柄表的扩容.每次增加粒度都是一个一级表的大小(大小为PAGE_SIZE,句柄容量为PAGE_SIZE/sizeof(H 阅读全文
posted @ 2018-12-26 19:49
黑月教主
阅读(245)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-03-30 阅读提示:由于继续使用了chichou同学的CodeHighlighter来修饰代码,造成文章字数过多,故分成三篇,且后两篇内容的顺序稍有调整,阅读时请根据大标题的顺序来~ 前置知识:Windows句柄表的基本结构本文以WRK1.2的代码为参考,主要分析Wi 阅读全文
posted @ 2018-12-26 19:47
黑月教主
阅读(404)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-03-29 PspCidTable的攻与防,其实就是进程隐藏与检测所涉及到的一部分工作~~不管基于PspCidTable的进线程检测,还是抹PspCidTable进行进程对象的隐藏,都涉及到对PspCidTable的遍历.所以如何安全正确地遍历PspCidTable才是 阅读全文
posted @ 2018-12-26 19:45
黑月教主
阅读(974)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-03-28 PspCidTable也是一个句柄表,其格式与普通的句柄表是完全一样的.但它与每个进程私有的句柄表有以下不同:1.PspCidTable中存放的对象是系统中所有的进线程对象,其索引就是PID和TID2.PspCidTable中存放的直接是对象体(EPROCE 阅读全文
posted @ 2018-12-26 19:41
黑月教主
阅读(707)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-02-28 句柄是Windows对象管理中引入的一个东西，它的实际意义是对象在句柄表中的索引。Windows2000使用的是固定的三层句柄表，而WindowsXP和Windows2003都是使用的动态可扩展的三层句柄表，这是一种很优秀的结构，易扩展，且查找迅速，值得学习 阅读全文
posted @ 2018-12-26 19:37
黑月教主
阅读(469)
评论(0)
推荐(0)
摘要：
原文发表于百度空间及看雪论坛，2009-02-27 看雪论坛地址：https://bbs.pediy.com/thread-82919.htm PspCidTable现在已经很科普了，关于其具体格式及如何枚举，网上相关文章一大堆，最多的两篇是gz1x和sudami写的。我这里只谈一个问题，就是枚举P 阅读全文
posted @ 2018-12-26 19:31
黑月教主
阅读(480)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-02-03 开始本文之前先膜拜一下老V~“无法F5的驱动，不是好驱动啊~不是好驱动啊~ ” killvxk语录这两天下午的时间，破解那个驱动保护搞得好痛苦，每次关机都要蓝一次，有时候设备还不工作，郁闷...而且VMware用得很伤心，每次开GuestOS都得6分钟左右， 阅读全文
posted @ 2018-12-26 19:25
黑月教主
阅读(626)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-01-09 今天又想起来VirtualKD这个东西，试用了一下，真是爽坏了，可能我火星了~~ 很久以前就知道小喂有个VmKd工具,使用Vmware的后门指令直接拷贝数据来代替模拟串口，能大大提高调试时的数据传输速度。不过那个对VMware版本的依赖性太强，我的Vmwar 阅读全文
posted @ 2018-12-26 19:20
黑月教主
阅读(814)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-01-09 这一节的内容是Windbg入门,用一些基本的命令告诉你如何使用Windbg~~仅作入门,更详细的可以参考Raymond老师的《软件调试》的第30章 "WinDbg用法详解"和Windbg自带的帮助文件 我使用调试器的经验完全来自于Ring3的Ollydbg， 阅读全文
posted @ 2018-12-26 19:13
黑月教主
阅读(273)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-01-08 这一篇是主要是关于Vmware部分的设置,其实参考JIURL那篇很经典的《借助VMware实现单机使用WinDbg》就可以了.不过那篇文章里面有个小错误（不知道是原作者不小心，还是别人转载的时候错了），后面的波特率应为115200而非11520我就再来写一下 阅读全文
posted @ 2018-12-26 19:10
黑月教主
阅读(426)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-01-08 Windbg+Vmware驱动调试入门，写给wakaka小童鞋，很强大的小童鞋，同时也做为自己的存档~~ Windbg的设置 Windbg本身可以直接从微软的网站上下载下载地址：http://www.microsoft.com/whdc/devtools/d 阅读全文
posted @ 2018-12-26 18:45
黑月教主
阅读(212)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2009-01-08 看雪论坛地址：https://bbs.pediy.com/thread-80109.htm DebugMan论坛地址：http://www.debugman.com/thread/2642/1/1 纯粹是写着好玩的东西,就是扩展一下ProcessNotify 阅读全文
posted @ 2018-12-26 18:30
黑月教主
阅读(289)
评论(0)
推荐(0)
摘要：
原文发表于百度空间，2008-12-18 标准栈回溯要求回溯中的每个函数都以如下指令作为开头(当然不是说不这样开头就不能回溯,那样就得特殊处理了)：push ebpmov ebp,esp接下来的工作通常是为临时变量开辟空间sub esp,0x40... 在函数结束时，会还原ebp和esp寄存器的值， 阅读全文
posted @ 2018-12-26 18:18
黑月教主
阅读(814)
评论(0)
推荐(0)
浙公网安备 33010602011771号