摘要： 原理：wincrypt des加密时，需要补齐，它会在数据的末尾添加字节，这些字节的值等于缺少的字节数。即使是8的倍数，也需要添加8个8 源码： #include <openssl/des.h> const BYTE IV[] = "12345678"; 1 DWORD DESEncrypt(WCH 阅读全文

摘要： 一、加密程序（WannaCryptor.exe） 1.释放 ①概览 ②细节 加载资源（多个zip文件），使用开源代码解压，zip文件标志（PK…） 解压所得： b.wry (bmp) c.wry (含有一些网址，torproject等) m.wry (rtf) r.wry (txt) t.wry ( 阅读全文

摘要： 1.样本概况 1.1应用程序信息 文件: C:\me\Panda\熊猫烧香.exe 大小: 30001 bytes 修改时间: 2007年1月17日, 12:18:40 MD5: 512301C535C88255C9A252FDF70B7A03 SHA1: CA3A1070CFF311C0BA40A 阅读全文

摘要： dll: 不要在dll入口搞一些乱七八糟的东西 如果直接调用onHook()，这会导致卡死，请创建线程，在线程里使用SetWindowHookEx 要实现消息钩子，必须要有自己的消息循环: 注入器： 注意事项： 1.要注入64位程序，请使用64位DLL，64位注入器 2.如果要注入的程序已经被某个程 阅读全文

摘要： 环境 win10 vs2017 Release x86 突破GS 禁用DEP,ALSR，代码优化（要是不禁，溢出根本覆盖不到虚函数表） 使用安全函数，不然会报错，要是禁用SDL，GS也会被禁掉。（反正我没搞定，不过好像也没啥影响，安全函数也阻止不了我写bug） 1.虚函数的调用 ①首先，虚函数的地址 阅读全文

摘要： 大多是0day书上抄的 1.SafeSEH 机制： 首先：内存中有SEH表的备份（加密过的） 在调用异常出来函数前，RtlDispatchException()函数中的行为： Ⅰ.检查异常处理链是否位于当前程序的栈中,如果不在当前栈中，程序将终止异常处理函数的调用。 Ⅱ.检查异常处理函数指针是否指向 阅读全文

摘要： 1. 发现可疑流量 A.分析流量，导出字节流 B.得到网页代码，发现需要执行的代码需要解密（加密的字符串部分太长了，就省略了）： C.通过在网页下断点，将解密后的代码从提取出来，并做修饰（payLoad太长被省略）： 很明显能看出来，这是在进行堆喷射！应该是在利用漏洞，至于漏洞在哪里，继续分析。 2 阅读全文

摘要： 2019/9/12 1.漏洞复现 ①发现崩溃 ②找到漏洞所在的函数，下断点，重新跑起来，单步调试，找到栈被改写的地方 ③分析该函数 把MSCOMCTL拖入IDA，查看该函数代码 ④查看调用栈，回溯。 先找到会被覆盖的返回地址的地址，再查看它是如何被覆盖的 找到触发漏洞的函数，查看它的参数，触发漏洞的 阅读全文

摘要： 1.原理： 在main函数之前，会调用__security_init_cookie函数（win10,vs2017,release,x86)； 进入__security_init_cookie函数内部： __security_cookie（随机数，产生于ntdll.dll的函数，通过栈回溯，下.dat 阅读全文

摘要： 当在一个函数（test）里面自定义了异常处理，如下： 那么在运行时，它会把自定义的异常处理函数MyExceptionhandler()的地址放入栈中(PUSH 004013CC) 然后把fs:[0]的地址（也是TEB的地址，SEH链的起始地址）放入栈中，然后把ESP的地址赋值给fs:[0]; 异常链 阅读全文