zcc1414

IO设备控制操作

摘要：除了读设备和写设备外还可以有一个API DeviceIoControl 操作设备创建一个IRP_MJ_DEVICE_CONTROL 类型的IRPDeviceIoControlhDevice Long，设备句柄dwIoControlCode Long，应用程序调用驱动程序的控制命令，就是IO... 阅读全文

posted @ 2013-09-07 12:40 zcc1414 阅读(273) 评论(0) 推荐(0)

白盒分析CC网络验证

摘要：有源码修改IP指向本机建立本地服务器除了中文文档其他复制进服务器目录编译创建账号默认账号密码 admin修改到期时间随便写机器码客户端登陆成功抓包并没有抓包回环地址 127.0.0.1 不会经过网卡一般抓包工具抓取网卡信息所以没有信息这里用封包助手通过HOOK手段抓取包的jia... 阅读全文

posted @ 2013-09-06 22:35 zcc1414 阅读(420) 评论(0) 推荐(0)

派遣函数学习3）其他方式读写设备

摘要：首先既不设置 DO_DIRECT_IO / DO_BUFFER_IO派遣函数直接读写应用程序提供的缓冲区地址。直接操应用程序的缓冲区地址是很危险的只有驱动程序与应用程序运行再相同线程上下文的时候，才能用这种方式探测可读可写用： ProbeForWrite + try 块NTSTATUS H... 阅读全文

posted @ 2013-09-05 21:39 zcc1414 阅读(145) 评论(0) 推荐(0)

error LNK2019: unresolved external symbol __except_handler4 referenced in function

摘要： VC下编写驱动时使用__try __except时的错误解决办法：unresolved external symbol __except_handler4 referenced in function在驱动代码中添加__try__except代码时，在VC或VS2008或VS2010时，会出现错误提... 阅读全文

posted @ 2013-09-05 21:23 zcc1414 阅读(314) 评论(0) 推荐(0)

派遣函数学习2）直接读写

摘要：直接方式读写设备，操作系统会将用户模式下的缓冲区锁住。然后操作系统将这段缓冲区在内核模式地址再次映射一遍这样，用户模式的缓冲区和内核模式的缓冲区指向的是同一区域的物理内存。在创建完设备对象后，在设置设备对象的时候，设置为 DO_DIRECT_IO 而不是DO_BUFFERED //创建设备 sta... 阅读全文

posted @ 2013-09-05 17:43 zcc1414 阅读(259) 评论(0) 推荐(0)

派遣函数学习1）缓冲区方式读写

摘要：符号 \??\HelloDDK -》\\.\\??\HelloDDK ->\\.\HelloDDK -> C语言字符串 \\\\.\\HelloDDKHANDLE hDevice = CreateFile("\\\\.\\HelloDDK", GENERIC_READ | GEN... 阅读全文

posted @ 2013-09-05 16:31 zcc1414 阅读(172) 评论(0) 推荐(0)

软件按钮事件

摘要：一、VB程序其实,VB的按纽事件的找法是最为普遍的,也就是大家所谓的万能断点.其实也不仅仅是针对按纽事件,还有很多其他的用处,如取消NAG,启动框,灰色按纽或隐藏按纽,启动时的timer事件等等,具体的就自己去总结吧,这里只演示按纽事件!OD载入后,CTRL+B,816C24 确定后,就会来到下图... 阅读全文

posted @ 2013-09-04 20:48 zcc1414 阅读(236) 评论(0) 推荐(0)

一般断点

摘要：拦截窗口：bp CreateWindow 创建窗口bp CreateWindowEx(A) 创建窗口bp ShowWindow 显示窗口bp UpdateWindow 更新窗口bp GetWindowText(A) 获取窗口文本拦截消息框：bp MessageBox(A) 创建消息框bp Messa... 阅读全文

posted @ 2013-09-04 20:44 zcc1414 阅读(196) 评论(0) 推荐(0)

黑盒分析

摘要：无源码分析 -》黑盒分析飘零 3.2VIP客户端心跳包很多大小为1 的包防止程序强制关闭封包内容大概为：p=xxxxxxxxxxxxxxxxxxxx&pzdm=xxxxxxxxxx&post=xxxxxxxxxxxx这个大概就是飘零验证了搜索字符串···不能整除与零不能求余数与... 阅读全文

posted @ 2013-09-04 20:29 zcc1414 阅读(211) 评论(0) 推荐(0)

网络验证参数破解+SE shadow Function

摘要：这个程序加了 SE2.1.6.0WriteProcess 下断补丁进程结束外挂正常本没有断下没有调用这个函数不是所有的补丁都会调用这个函数的1）看有没有DLL加载有些作者会把DLL 释放到系统文件夹中加载可以监视器去监视生成的文件还可以去查看模块：没有登录时模块信息 -》拷贝整个... 阅读全文

posted @ 2013-09-04 14:36 zcc1414 阅读(355) 评论(0) 推荐(0)

网络验证CRC校验

摘要：要求把名字固定住运行会出现一个EXE 修改这个文件名就可以固定住它的用户名要进去游戏查看！！！！！！！！！！！！！！！！！！开启外挂提示过期······································ 阅读全文

posted @ 2013-09-04 12:38 zcc1414 阅读(325) 评论(0) 推荐(0)

网络验证快速找CALL

摘要：视频笔记：如果提示天数使用限制可以修改时间去破掉这个限制但是1 发包到服务器2 服务器传回时间动态3 判断接受到的包，弹框多久到期，取本地时间验证4 又一层验证，取的不是本机的时间，取时间的方式与3不一样修改时间往前改本地欺骗可以用于固态的包检查下断 MessageBoxA ... 阅读全文

posted @ 2013-09-03 23:58 zcc1414 阅读(272) 评论(0) 推荐(0)

网络验证

摘要：看视频后记录：分析协议：HOST GET -> HTTP协议搜字符串显示了很多字符串没有关键字符串必须要有一个账号：yizhiyu6xiao369 不能用账号被锁定抓包分析修改/找回密码123123456账号被锁定fuckyou问题：fuckyou答案：haozi123456猜对了抓包 ... 阅读全文

posted @ 2013-09-03 23:04 zcc1414 阅读(503) 评论(0) 推荐(0)

内核模式注册表编程

摘要： //////////////////////////////////////////////////////////////////////////////创建或打开某注册表项目：#define MY_REG_SOFTWARE_KEY_NAME L"\\Registry\\Machine\\So... 阅读全文

posted @ 2013-09-02 15:20 zcc1414 阅读(241) 评论(0) 推荐(0)

内存补丁程序编写

摘要： #include "stdafx.h"#include int main(int argc, char* argv[]){#define PATCH_ADDRESS 0x00408EC2 char szFileName[] = "5Star.exe"; BOOL flag = TRUE; BYTE ... 阅读全文

posted @ 2013-09-01 23:05 zcc1414 阅读(265) 评论(0) 推荐(0)

过软件虚拟机的检查

摘要：首先你把你的 VMware 虚拟机里面的操作系统调到最快的状态（关闭不必要的程序、自动更新等）然后关闭虚拟机；打开 VMware 虚拟机的配置文件，这是一个后缀为 vmx 的文本文件。在里面加入以下内容isolation.tools.getPtrLocation.disable = "TRUE"is... 阅读全文

posted @ 2013-09-01 20:53 zcc1414 阅读(263) 评论(0) 推荐(0)

父子分离进程+ACP1.41脱壳

摘要： kerberos 监视 API操作修复IAT时如果是004000新方法：对指定IAT 假的地址下硬件写入断点重来 ctil+f2 F8到出现函数的地址（或者函数名）softdefender 反APIkerberos监视生成文件在CreateProcess 之前的函数断下C... 阅读全文

posted @ 2013-08-31 16:35 zcc1414 阅读(200) 评论(0) 推荐(0)

内核模式文件操作

摘要：首先当编译驱动时发生错误：LINK : warning LNK4044: unrecognized option '/pdbtype:sept'; ignoredCreating browse info file...BSCMAKE: error BK1510 : corrupt .SBR fi... 阅读全文

posted @ 2013-08-31 10:21 zcc1414 阅读(299) 评论(0) 推荐(0)

内核模式下的字符串操作

摘要：代码： KdPrint(("ANSI:\n")); CHAR *string = "Hello"; KdPrint(("%s\n",string)); WCHAR *string2 = L"Hello2"; KdPrint(("%S\n",string2)); ANSI_STRING ansis... 阅读全文

posted @ 2013-08-31 09:33 zcc1414 阅读(196) 评论(0) 推荐(0)

OD脚本学习

摘要：重要的一般用得到的：$RESULT //返回值cmp $VERSION, "1.47"ja ``````#INC "脚本名"#LOG //开始记录运行指令ADD 目的，源add [401000],5 //[4010000]+5add x,16.50add y,"times"alloc //... 阅读全文

posted @ 2013-08-31 00:42 zcc1414 阅读(634) 评论(0) 推荐(0)

程序优化

摘要： http://blog.csdn.net/killalarm/article/details/6066577DELPHI 程序中代码段有搜索 runtime 上面对齐就是数据段起始地重建PE：LOADPE 清空目录图中下面显示的TLS表信息：00452000-45300000452... 阅读全文

posted @ 2013-08-30 23:26 zcc1414 阅读(177) 评论(0) 推荐(0)

obsidium 重定位

摘要：一般 VC VB 没有重定位表：DELPHI有重定位VirtualAlloc 申请区段去重定位VirtualProtect 阅读全文

posted @ 2013-08-30 22:07 zcc1414 阅读(155) 评论(0) 推荐(0)

Obsidium V1.3.0.4 脱壳

摘要：【文章标题】: Obsidium V1.3.0.4【文章作者】:【下载地址】: 自己搜索下载【加壳方式】: Obsidium 1.3.0.4 -> Obsidium Software [Overlay]【编写语言】: VC6.0【使用工具】: 一蓑烟雨OllyDbg等等【作者声明】: 只是感兴趣，没... 阅读全文

posted @ 2013-08-30 18:00 zcc1414 阅读(806) 评论(0) 推荐(0)

SEH 栈溢出

摘要：操作系统或程序在运行，难免会遇到各种各样的错误，如除零，非法内存访问，文件打开错误，内存不足，磁盘读写错误，外设操作失败。为了保证系统在遇到错误时不至于崩溃，仍能够健壮稳定地继续运行下去，windows会对运行在其中的程序提供一次补救的机会来处理错误这种机制就是异常处理机制。S.E.H即异常处理结构... 阅读全文

posted @ 2013-08-30 11:07 zcc1414 阅读(492) 评论(0) 推荐(0)

DWORD SHOOT

摘要：我知道原理了：当int remove(){node->blink->flink = node->flink;//这个是flink \x88\x06\x36\x00 这个是blink //\x20\xf0\xfd\x7f"; //将系统RtlEnterCritucalSection 的 flin... 阅读全文

posted @ 2013-08-29 00:40 zcc1414 阅读(629) 评论(0) 推荐(0)

两种堆表学习

摘要：最重要的对标有两种：1 空表 freelist 128条可看溢出利用chunk重设大小攻击堆Freelist[0] 指向 ”尾块“ HLOCAL h1,h2,h3,h4,h5,h6; HANDLE hp; hp = HeapCreate(0,0x1000,0x10000); __asm int 3... 阅读全文

posted @ 2013-08-28 17:10 zcc1414 阅读(220) 评论(0) 推荐(0)

修改网页转向

摘要：修改HOSTS文件：c:\windows\system32\driver\etc\HOSTS目的IP 需要跳转的网站比如：百度-》谷歌74.125.128.103 www.baidu.com 阅读全文

posted @ 2013-08-28 15:45 zcc1414 阅读(219) 评论(0) 推荐(0)

WireShark过滤语法

摘要： 1.过滤IP，如来源IP或者目标IP等于某个IP例子:ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107或者ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP2.过滤端口例子:tcp.port eq 80 // 不... 阅读全文

posted @ 2013-08-28 11:10 zcc1414 阅读(290) 评论(0) 推荐(0)

获取系统信息学习

摘要： DWORD dwEAX = 0; DWORD dwEBX = 0; DWORD dwECX = 0; DWORD dwEDX = 0; // 获取CPUID0 _asm { mov eax, 0 cpuid mov dwEAX, eax mov dwEBX, ebx mov dwECX,... 阅读全文

posted @ 2013-08-27 20:40 zcc1414 阅读(124) 评论(0) 推荐(0)

怎么在渗透无键盘查询机

摘要： cmd运行 osk .exe 就有屏幕键盘了最简单在网上传个木马让对方下载下来阅读全文

posted @ 2013-08-27 17:28 zcc1414 阅读(119) 评论(0) 推荐(0)

HOOK API

摘要：硬编码 HOOK API这里实现显示的 “失败” 换成 “成功了啊？”77D507EA >- E9 733F6B88 jmp MyCrackM.00404762//这里是MessageBoxA 00404762是 exe程序领空的一个地址77D507EF 833D BC14D777 0... 阅读全文

posted @ 2013-08-27 15:56 zcc1414 阅读(308) 评论(0) 推荐(0)

挂接反挂接

摘要： XT 软件去暂停程序 OD 挂接让主线程运行其他线程暂停这样就停掉了壳程序反挂接代码：外壳代码HWND hwnd = ::FindWindowA(NULL,"Delphi 5.0"); DWORD PID; DEBUG_EVENT debug_event = {0}; GetWindo... 阅读全文

posted @ 2013-08-27 11:38 zcc1414 阅读(181) 评论(0) 推荐(0)

P-code学习

摘要：全称是pseudo－code，就是伪代码的意思，在VB编译中，有两种编译方式，一种是Native－Code（本地代码），另一种就是p－code。p－code的整个代码直接交给CPU处理，由MSVBVM6.0.DLL来翻译。OD 对它不是很支持静态分析\WKTVBDE 去动态分析注意这... 阅读全文

posted @ 2013-08-27 11:33 zcc1414 阅读(218) 评论(0) 推荐(0)

现在的感慨

摘要：这学期小菜就是一名大三学生了，大学一半就这样过去了。自我感觉自己学到的东西还是太少了，比较其他的同学还是差的很多，虽然我比别人花的时间更多，但是收效却不知道好。可能是学习习惯，学习态度还不够好吧。感觉学到的东西很快就忘了，经常在虚拟机里写代码，一还原就没有。没有之后心里一阵反胃，每次都想大哭一场，... 阅读全文

posted @ 2013-08-25 22:23 zcc1414 阅读(125) 评论(0) 推荐(0)

驱动内存管理学习

摘要： H头文件：#pragma once //只要在头文件的最开始加入这条杂注， //就能够保证头文件只被编译一次#ifdef __cplusplusextern "C"{#endif#include #ifdef __cplusplus}#endif#define PAGECODE code_se... 阅读全文

posted @ 2013-08-24 22:20 zcc1414 阅读(195) 评论(0) 推荐(0)

keygenme5

摘要：分析：00401650 /. 55 push ebp00401651 |. 8BEC mov ebp,esp00401653 |. 83E4 F8 and esp,0xFFFFFFF800401656 |. 81EC 9C00000... 阅读全文

posted @ 2013-08-24 00:03 zcc1414 阅读(346) 评论(0) 推荐(0)

消息断点跟TRACE跟踪跟方便

摘要：主要用 ICE 才可以对于大量有算法的程序可以用这种方法```````````````转载： http://bbs.pediy.com/showthread.php?t=67866&highlight=OLLYDBG这个会消耗大量资源注意点一般流程：1 下按钮断点2 断下后 CTRL +... 阅读全文

posted @ 2013-08-23 21:52 zcc1414 阅读(198) 评论(0) 推荐(0)

keygenme4

摘要：这个KEYGENME 有点简单但是写注册机有点难度要求写出随机的注册码大体流程：00401000 >/$ 6A 00 push 0x0 ; /Style = MB_OK|MB_APPLMODAL00401002 ... 阅读全文

posted @ 2013-08-23 18:32 zcc1414 阅读(251) 评论(0) 推荐(0)

keygenme3

摘要： 0040116B |. 68 6C804000 push CrackMe2.0040806C ; ASCII "%s"00401170 |. E8 DB000000 call CrackMe2.0040125000401175 |. 68 5... 阅读全文

posted @ 2013-08-23 11:24 zcc1414 阅读(201) 评论(0) 推荐(0)

WINDOWS操作驱动学习带服务加载驱动

摘要：可以用这个工具查看驱动运行负荷如果内核模式运行时间陡然上升则说明驱动程序消耗了大量的内核资源windows 2000 通过 int 2ehwinodws XP 通过 sysenter 进入内核模式Native API 通过软件中断方式进入到内核模式并调用内核的系统服务执行... 阅读全文

posted @ 2013-08-21 16:34 zcc1414 阅读(991) 评论(0) 推荐(0)

公告