随笔分类 -  win

问题
摘要：1.对LPC中的共享section不大明白2.LPC用的什么内存机制去传递数据的？ 阅读全文
posted @ 2013-06-25 11:54 ywledoc 阅读(136) 评论(0) 推荐(0)
gapz注入代码
摘要：#include #include #include #include #include // ASCII marker#define MARKER "I'm in ur address-space man!"#define SIZE_MARKER strlen(MARKER)// Declarations#define STATUS_SUCCESS ((NTSTATUS)0)typedef enum _SECTION_INHERIT {ViewShare = 1,ViewUnmap = 2} SECTION_INHERIT, *PSECTION_INHERIT;e 阅读全文
posted @ 2013-06-25 11:52 ywledoc 阅读(516) 评论(0) 推荐(0)
day_log 5-6月份
摘要：1.windows图片管理器是用rundll32.exe打开的，每种格式对应哪个DLL，查注册表。2.基本功都不扎实，居然会忽视ebp下面就是返回地址，还一个劲的找。。3.SetWindowLongPtr这函数，略奇葩，今天才知道真正内容。 阅读全文
posted @ 2013-05-21 23:50 ywledoc 阅读(180) 评论(0) 推荐(0)
winXP下的磁盘相关知识点
摘要：1.win7和xp读写磁盘都会经过\driver\atapi，但是win8就到了\driver\storahci。win7比Xp多出来一个ataport.sys，但是这个驱动在\driver目录下找不到对应项。看文档里发现似乎是对应为\driver\ahci，或者可以尝试找找是不是和Win8的同名\driver\stortahci2.待续 阅读全文
posted @ 2013-02-06 09:31 ywledoc 阅读(187) 评论(0) 推荐(0)
day_log 12月份的
摘要：12.10_IO_STACK_LOCATION的UCHAR MajorFunction;UCHAR MinorFunction;UCHAR Flags;UCHAR Control;字段作用MajorFunction:该字段定义了一个函数功能集，内核模式驱动可以实现其中的每一个函数。每一个函数由一个函数代码对应当内核模式驱动接收到一个IRP时，驱动首先检查当前StackLocation中的MajorFunction字段，得出驱动将要执行的功能，可能的MajorFunction功能代码如下：#define IRP_MJ_CREATE 0x00#define IRP_MJ_CREATE_NAMED_ 阅读全文
posted @ 2012-12-10 22:15 ywledoc 阅读(199) 评论(0) 推荐(0)
day_log 11月份的
摘要：11.11.PostMessage加入消息队列是FIFO解决了PostMessage发送删除Item问题2.modal窗体不会阻塞程序的消息循环，wndproc是单线程解决了可能一边AddItem，一边DeleteItem的问题3.tagLVITEMAtagLVITEMA里的lParam可以用来绑定一些数据。pcshare就是用这个关联11.51.debug使用2.wcsstr和_wcsicmp在hook NtQueryDirectoryFile不同的效果11.6http://www.codeproject.com/Articles/325603/Injection-into-a-Proces 阅读全文
posted @ 2012-12-02 12:55 ywledoc 阅读(196) 评论(0) 推荐(0)
day_log 10月份的
摘要：10.15verifier验证驱动c:\windows\system32\verifier.exeZeroAccesssection_objectsegmentcontrol_areahttp://bbs.pediy.com/showthread.php?t=141124int 2d资料http://www.openrce.org/reference_library/anti_reversing_view/34/INT%202D%20Debugger%20Detection/10.161...这里下断可以跟进com的代码DispCallFunc接口一般定义如下interface IDispat 阅读全文
posted @ 2012-12-02 12:52 ywledoc 阅读(232) 评论(0) 推荐(0)
各模型关闭套接字时机
摘要：1.selectreadfds集合有下列事件发生时，会被标识：数据可读；连接已经关闭、重启或者中断；如果listen已经调用，并且有一个连接未决，accept可以成功。select函数会返回，有多少个socket发生了事件。要关闭一个套接字时，判断select返回>0，然后recv套接字，出错，就代表这个socket可以closesocket了。2.WSAAsyncSelectint WSAAsyncSelect( SOCKET s, HWND hWnd, unsigned int wMsg, long lEvent);第四个参数lEvent，可以设置FD_CLOSE当有socket被. 阅读全文
posted @ 2012-11-29 15:18 ywledoc 阅读(267) 评论(0) 推荐(0)
网络编程的4种IO模型
摘要：selectFD_ZERO初始化FD_SET将socket加进去select轮询当socket的事件发生时，fd_set里面有相关的socket，如果没有socket有事件发生，select返回0FD_ISSET检测，socket是否还在fd_set里，是的话，表示这个socket有事件发生WSAAsyncSelectWSAAsyncSelect将socket与对应的窗口过程绑定，并指定这个socket对哪些事件感兴趣WSAGETSELECTERROR(lParam)得到错误WSAGETSELECTEVENT(lParam)得到是哪个事件wParam为socketWSAEventSelectW 阅读全文
posted @ 2012-11-28 19:29 ywledoc 阅读(211) 评论(0) 推荐(0)