摘要：我用的IDA Pro 6.5，把我自己使用ida的一些方法记录，免得自己遗忘1 .导入符号表可以像前一篇博客中写的那样，也可以使用File--->LoadFile--->PDB File 选择符号文件，然后File--->LoadFile--->ReloadInputFile 重新分析2.改变基地址... 阅读全文

摘要：先简单介绍下PatchGuard ，摘自百度百科PatchGuard就是Windows Vista的内核保护系统，防止任何非授权软件试图“修改”Windows内核，也就是说，Vista内核的新型金钟罩。PatchGuard为Windows Vista加入一个新安全操作层，此前我们为您介绍过的ASLR... 阅读全文

摘要：C名称修饰规则 1.对于使用__cdecl调用约定的函数，在函数名称前加一下划线，不考虑参数和返回值。 2.对于使用__fastcall调用约定的函数，在函数名称前后各加一@符号，后跟参数的长度，不考虑返回值。 例如 extern “C” int __fastcall Test(int ... 阅读全文

摘要：硬盘的0柱面、0磁头、1扇区称为主引导扇区，FDISK程序写到该扇区的内容称为主引导记录（MBR）。该记录占用512个字节，它用于硬盘启动时将系统控制权交给用户指定的，并在分区表中登记了的某个操作系统区。1.MBR的读取硬盘的引导记录（MBR）是不属于任何一个操作系统，也不能用操作系统提供的磁盘操作... 阅读全文

摘要：将Windbg路径下的symsrv.yes 拷贝到ida 的安装目录，重新分析ntoskrnl.exe， 加载本地的符号表添加环境变量 变量名：_NT_SYMBOL_PATH变量值：SRV*{$Path}*http://msdl.microsoft.com/download/symbols/将“{$... 阅读全文

摘要：InineHook通过修改函数指令实现，此次以内核层的PspCreateProcess()为例。本来是想写NtCreateProcess()的Inlinehook，但是想到PCHunter对于SSDT和ShadowSSDT的检测，就想试一下PCHunter对于更底层函数的检测功能，虽然最后还是被检测... 阅读全文