亚洲四虎永久在线播放,亚洲AV无码乱码在线观看裸奔,久久久久亚洲av毛片大

堡耳機的方法

摘要: 堡耳機的方法
一般來說，新買來的好點的耳機都需要堡，堡了以后才能有比較好的音質。
堡耳機的步驟如下：
1.正常聽音量的1/3驅動耳機24小時(100-10kHz)
2.正常聽音量的2/3驅動耳機24小時(50-15kHz)
3.正常聽音量驅動耳機72小時(20-20kHz)
4.正常聽音量的3/4驅動耳機24小時(20-20K)
5.正常聽音量聽歌閱讀全文

posted @ 2007-08-17 16:56 009 閱讀(748) | 評論 (0) | 編輯收藏

通過活動鏈表或HOOK API隱藏進程

摘要: 進程隱藏的兩種方法
這兩種都是很古老的方法，因為無聊，所以寫了一下。代碼在XP_SP2下調試通過.

(1).從活動進程鏈表（ActiveProcessLinks）中摘除自身,這種方法可以欺騙任務管理器，
下面這個程序做的就是雙向鏈表的刪除節(jié)點和插入節(jié)點，十分的簡單。

（2）.如果你反匯編taskmgr.exe,可以在發(fā)現(xiàn)taskmgr.exe是通過NtQuerySystemInformation枚舉進程的，
因此可以通過掛鉤系統(tǒng)服務NtQuerySystemInformation修改這個函數(shù)的行為，從而實現(xiàn)在任務管理器中隱藏進程的目的，下面就是實現(xiàn)代碼。
...........
閱讀全文

posted @ 2007-08-12 20:07 009 閱讀(2400) | 評論 (0) | 編輯收藏

Hook API監(jiān)視驅動的加載

摘要: .386
.model flat, stdcall
option casemap:none

;**************************************************************************************************
include f:\masm32\include\w2k\ntstatus.inc
include f:\masm32\include\w2k\ntddk.inc
include f:\masm32\include\w2k\ntoskrnl.inc
includelib f:\masm32\lib\w2k\ntoskrnl.lib
include f:\masm32\Macros\Strings.mac

;************************************************************************************************** 閱讀全文

posted @ 2007-08-12 19:46 009 閱讀(721) | 評論 (0) | 編輯收藏

WMI監(jiān)視注冊表

摘要: Set wmiServices = GetObject("winmgmts:root/default")
Set wmiSink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")
wmiServices.ExecNotificationQueryAsync wmiSink, _
"SELECT * FROM RegistryKeyChangeEvent WHERE Hive='HKEY_LOCAL_MACHINE' AND " & _
"KeyPath='SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run'"
WScript.Echo "Listening..." & vbCrLf
While(1)
WScript.Sleep 1000
Wend
Sub SINK_OnObjectReady(wmiObject, wmiAsyncContext)
WScript.Echo "R 閱讀全文

posted @ 2007-08-12 17:53 009 閱讀(771) | 評論 (0) | 編輯收藏

提供幾個一句話變形(未測試)

posted @ 2007-08-12 16:50 009 閱讀(523) | 評論 (0) | 編輯收藏

Cookie注入手工檢測方法

摘要: 例:
http://xxxx/view.asp?id=1
先訪問http://xxxx/view.asp?id=1
接著在瀏覽器里輸入：
javascript:alert(document.cookie="id="+escape("1 and 1=1"))
再訪問http://xxxx/view.asp（未出錯）
再輸入：javascript:alert(document.cookie="id="+escape("188 and 1=2"))
再訪問：http://xxxx/view.asp（出錯）
該頁面出錯就表示可以用Cookie注入。
..........
閱讀全文

posted @ 2007-08-12 16:45 009 閱讀(892) | 評論 (0) | 編輯收藏

暫停Windows文件保護

摘要: #include <stdio.h>
#include <windows.h>

typedef DWORD(__stdcall *CPP) (DWORD param1, PWCHAR param2, DWORD param3);
void Disable_WFP()
{
HINSTANCE hmod=LoadLibrary("sfc_os.dll");
CPP SetSfcFileException;
// the function is stored at the fifth ordinal in sfc_os.dll
SetSfcFileException= (CPP)GetProcAddress(hmod,(LPCSTR)5);
SetSfcFileException(0, L"c:\\windows\\system32\\calc.exe",-1);
//Now we can modify the system file in a complete stealth. 閱讀全文

posted @ 2007-08-12 16:37 009 閱讀(322) | 評論 (0) | 編輯收藏

編寫進程/線程監(jiān)視器(ZT)

摘要: 有時候我們希望能夠動態(tài)監(jiān)視系統(tǒng)中任意進程/線程的創(chuàng)建與銷毀。為了達
到此目的我翻閱了 DDK 手冊，發(fā)現(xiàn)其提供的 PsSetCreateProcessNotifyRoutine(),
PsSetCreateThreadNotifyRoutine(),等函數(shù)可以實現(xiàn)此功能。這兩個函數(shù)可以
通過向系統(tǒng)注冊一個 CALLBALCK 函數(shù)來監(jiān)視進程/線程等操作。函數(shù)原形如下：

NTSTATUS
PsSetCreateProcessNotifyRoutine(
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine,
IN BOOLEAN Remove
);
......................
閱讀全文

posted @ 2007-08-12 16:21 009 閱讀(429) | 評論 (0) | 編輯收藏

SSDT Hook 的妙用－對抗 Ring0 Inline Hook(ZT)

摘要: 1,SSDT
SSDT即系統(tǒng)服務描述符表，它的結構如下(參考《Undocument Windows 2000 Secretes》第二章):
typedef struct _SYSTEM_SERVICE_TABLE
{
PVOID ServiceTableBase; //這個指向系統(tǒng)服務函數(shù)地址表
PULONG ServiceCounterTableBase;
ULONG NumberOfService; //服務函數(shù)的個數(shù),NumberOfService*4 就是整個地址表的大小
ULONG ParamTableBase;
}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;
.........
閱讀全文

posted @ 2007-08-12 16:20 009 閱讀(763) | 評論 (0) | 編輯收藏

對抗殺毒軟件的內存掃描(ZT)

摘要:
通過對 NtReadVirtualMemory 掛鉤，防止其他進程對保護的模塊進行掃描，
如果發(fā)現(xiàn)其他進程讀被保護模塊的內存，則返回0
typedef struct _LDR_DATA_TABLE_ENTRY {
LIST_ENTRY InLoadOrderLinks;
LIST_ENTRY InMemoryOrderLinks;
LIST_ENTRY InInitializationOrderLinks;
PVOID DllBase;
.........
閱讀全文

posted @ 2007-08-12 16:18 009 閱讀(431) | 評論 (0) | 編輯收藏

實用級反主動防御rootkit設計思路(ZT)

摘要:
目錄：
反主動防御rootkit的產生背景及其必要性
反網(wǎng)絡訪問主動防御
反API鉤子進程行為主動防御
反系統(tǒng)Notify進程行為主動防御
繞過監(jiān)控進入ring0安裝驅動
實用級反主動防御rootkit的通用性問題
..............
閱讀全文

posted @ 2007-08-11 11:05 009 閱讀(411) | 評論 (0) | 編輯收藏

從PE文件入手繞過IAT HOOK(ZT)

摘要:
API HOOK估計沒必要多介紹了,簡單的來講就是通過某種方式來改變API函數(shù)的工作流程.一般來講有兩種方法:IAT HOOK和INLINE HOOK.前一種應用較為廣泛,一方面因為簡單,還一方面因為穩(wěn)定.他的原理就是改寫進程空間中要HOOK的API所在模塊的函數(shù)引入表,使之指向替換原 API函數(shù)的函數(shù)地址(某些木馬就是利用IAT HOOK的方式,掛鉤NtQuerySystemInformation的方式來實現(xiàn)進程隱藏).這里感覺還是有必要再說一點INLINE HOOK,這個復雜點,直接進入被HOOK的API函數(shù)內部去修改他,采用指令call或者jmp等,迫使API改變流程,跳到自己的替換函數(shù)中.通常都是在函數(shù)頭部前10個字節(jié)內修改.
...............
閱讀全文

posted @ 2007-08-10 19:31 009 閱讀(3274) | 評論 (0) | 編輯收藏

應用層InLine Hook(ZT)

摘要: 1.得到本進程中包含被掛接API的DLL的基地址,該DLL代碼節(jié)的虛擬偏移以及該API的入口地址.API入口地址-(代碼節(jié)虛擬偏移+DLL基地址)=函數(shù)入口相對于代碼節(jié)的偏移
2.得到目標進程的PID,以及目標進程包含被掛接API的DLL的基地址(注意一般來說和前面自身進程的值相同)前面得到的函數(shù)入口偏移+DLL基地址+代碼節(jié)虛擬偏移=目標進程API函數(shù)入口地址
3.打開目標進程讀目標進程API函數(shù)入口處128字節(jié)代碼到自身進程的變量中.然后調用z0mbie寫的LDE32庫取該API函數(shù)入口處幾個指令的長度當長度>=5時保存該長度(這樣防止后面取指令沒有對齊)
4.為我們的假函數(shù)在目標進程加載的DLL中分配空間(我是把代碼寫在PE頭的后面)這兒要改該內存的屬性為讀寫執(zhí)行(PAGE_EXECUTE_READWRITE).為了方便編譯我們的假函數(shù)是寫在代碼段中的,在運行時要把這些代碼移到數(shù)據(jù)段,然后把第3步取出的指令放在數(shù)據(jù)段中相應的偏移處.同時還要在數(shù)據(jù)段中設置跳回真實函數(shù)的JMP指令.
5.把真正的API開頭的指令改為JMP到我們的假函數(shù)中.
. 閱讀全文

posted @ 2007-08-09 23:06 009 閱讀(1535) | 評論 (0) | 編輯收藏

什么是PE文件及PE文件的結構和簡述(ZT)

摘要:
一個操作系統(tǒng)的可執(zhí)行文件格式在很多方面是這個系統(tǒng)的一面鏡子。雖然學習一個可執(zhí)行文件格式通常不是一個程序員的首要任務，但是你可以從這其中學到大量的知識。在這篇文章中，我會給出 MicroSoft 的所有基于 win32系統(tǒng)（如winnt,win9x）的可移植可執(zhí)行（PE）文件格式的詳細介紹。在可預知的未來，包括 Windows2000 , PE 文件格式在 MicroSoft 的操作系統(tǒng)中扮演一個重要的角色。如果你在使用 Win32 或 Winnt ，那么你已經在使用 PE 文件了。甚至你只是在 Windows3.1 下使用 Visual C++ 編程，你使用的仍然是 PE 文件（Visual C++ 的 32 位 MS-DOS 擴展組件用這個格式）。簡而言之，PE 格式已經普遍應用，并且在不短的將來仍是不可避免的。現(xiàn)在是時候找出這種新的可執(zhí)行文件格式為操作系統(tǒng)帶來的東西了。
我最后不會讓你盯住無窮無盡的十六進制Dump，也不會詳細討論頁面的每一個單獨的位的重要性。代替的，我會向你介紹包含在 PE 文件中的概念，并且將他們和你每天都遇到的東西聯(lián)系起來。比如，線程局部變量閱讀全文

posted @ 2007-08-09 22:21 009 閱讀(3356) | 評論 (0) | 編輯收藏

C++字符串完全指引(ZT)

摘要: 許多關于字符串的問題，在文章最后的參考文章中，相信有更加深入和精確的描述。不過關于中文的處理，我想先補充一些自己的看法。
背景：WIN32 console程序，使用printf輸出字符串。相信許多人都有使用過。
平臺：VisualStudio.NET 2003（MFC 7.1）。
MBCS UNICODE
蔡 b2 cc 21 85
A 41 00 41 00
程序段1：使用std::string
#include
.........
閱讀全文

posted @ 2007-08-09 22:01 009 閱讀(1555) | 評論 (0) | 編輯收藏

關于PE可執(zhí)行文件的修改(ZT)

摘要: 1、PE文件框架構成
DOS MZ header
DOS stub
PE header
Section table
Section 1
Section 2
Section ...
Section n
上表是PE文件結構的總體層次分布。所有 PE文件(甚至32位的 DLLs) 必須以一個簡單的 DOS MZ header 開始，在偏移0處有DOS下可執(zhí)行文件的“MZ標志”，有了它，一旦程序在DOS下執(zhí)行，DOS就能識別出這是有效的執(zhí)行體，然后運行緊隨 MZ header 之后的 DOS stub。DOS stub實際上是個有效的EXE，在不支持 PE文件格式的操作系統(tǒng)中，它將簡單顯示一個錯誤提示，類似于字符串 " This program cannot run in DOS mode " 或者程序員可根據(jù)自己的意圖實現(xiàn)完整的 DOS代碼。通常DOS stub由匯編器/編譯器自動生成，對我們的用處不是很大，它簡單調用中斷21h服務9來顯示字符串"This program cannot run in DOS mode"。閱讀全文

posted @ 2007-08-05 22:15 009 閱讀(507) | 評論 (0) | 編輯收藏

Windows應用程序捆綁核心編程(ZT)

摘要:
1.1 引言 1.2 內存管理概述 1.3 虛擬內存訪問
1.4 文件的內存映射 1.4 文件的內存映射(2) 1.5 深入認識指針的真正含義
1.6 本章小結參考文獻
第2章再談PE文件結構
2.1 引言 2.2 PE文件格式概述 2.3 PE文件結構
2.3 PE文件結構 2.4 如何獲取PE文件中的OEP 2.5 PE文件中的資源
2.6 一個修改PE可執(zhí)行文件的完整實例(1) 2.6 一個修改PE可執(zhí)行文件的完整實例(2) 2.7 本章小結
參考文獻
第3章進程之間通信概述及初級技術
3.1 引言 3.2 進程通信概述 3.3 使用自定義消息通信
3.4 使用WM_COPYDATA消息通信 3.4 使用WM_COPYDATA消息通信 3.5 使用內存讀寫函數(shù)和內存映射文件通信
3.6 使用動態(tài)鏈接庫通信 3.7 使用Windows剪貼板通信 3. 閱讀全文

posted @ 2007-08-05 22:11 009 閱讀(4763) | 評論 (1) | 編輯收藏

Creating the smallest possible PE executable

摘要: Tiny PE
Creating the smallest possible PE executable
This work was inspired by the Tiny PE challenge by Gil Dabah. The object of the challenge was to write the smallest PE file that downloads a file from the Internet and executes it.

In the process of writing increasingly smaller PE files for the challenge I learned a lot of interesting details about the PE file format and the Windows loader. The goal of this document is to preserve this knowledge for future reference. In t 閱讀全文

posted @ 2007-08-04 22:21 009 閱讀(478) | 評論 (0) | 編輯收藏

vc的編譯參數(shù)優(yōu)化(ZT)

摘要:
/*
Author: void#ph4nt0m.org
*/

// 編譯器 cl.exe(Visual C++ 6.0)
// 沒有做任何優(yōu)化情況下,編譯大小為:16K
// 編譯優(yōu)化后: 1K (用16進制編輯器把尾部的0x00去掉: 712bytes)
#include
#pragma comment(lib,"kernel32.lib")

// 作用: 指定節(jié)對齊為512字節(jié)
#pragma comment(linker, "/align:512")
..........
閱讀全文

posted @ 2007-08-04 22:15 009 閱讀(292) | 評論 (0) | 編輯收藏

向其他進程注入代碼的三種方法(ZT)

摘要: 我們在Code project（www.codeproject.com）上可以找到許多密碼間諜程序（譯者注：那些可以看到別的程序中密碼框內容的軟件），他們都依賴于Windows鉤子技術。要實現(xiàn)這個還有其他的方法嗎？有！但是，首先，讓我們簡單回顧一下我們要實現(xiàn)的目標，以便你能弄清楚我在說什么。

要讀取一個控件的內容，不管它是否屬于你自己的程序，一般來說需要發(fā)送 WM_GETTEXT 消息到那個控件。這對edit控件也有效，但是有一種情況例外。如果這個edit控件屬于其他進程并且具有 ES_PASSWORD 風格的話，這種方法就不會成功。只有“擁有（OWNS）”這個密碼控件的進程才可以用 WM_GETTEXT 取得它的內容。所以，我們的問題就是：如何讓下面這句代碼在其他進程的地址空間中運行起來：

::SendMessage( hPwdEdit, WM_GETTEXT, nMaxChars, psBuffer );

一般來說，這個問題有三種可能的解決方案：

1. 把你的代碼放到一個DLL中；然后用 wind 閱讀全文

posted @ 2007-08-03 15:10 009 閱讀(482) | 評論 (0) | 編輯收藏

Inject your code to a Portable Executable file

摘要:
0序文
也許你想要了解一個病毒，注入到程序內部并且感染他的方法，或者你對保護你特殊的PE文件的數(shù)據(jù)感興趣。你能使用這篇文章的源代碼構建你自定義的EXE BUILDER。如果用在好的方面，他能教你怎樣保護或封裝加密你的PE文件，但是同樣如果你用在邪惡的方面，他能產生一個病毒。然而，我寫這篇文章的目的是前者，所以，我不會為不道德的使用負責。

1預備知識
按照主題這篇文章不需要特殊的預備知識，如果你已經了解了DEBUGGER和文件結構，那么我建議你跳過2，3部分，這兩部分是為毫無基礎的人準備的。

2.PE文件的結構
規(guī)定PE文件的結構為WINDOWS OS提供了最好的方式去執(zhí)行代碼，并且儲存一個程序運行所需要的基本數(shù)據(jù)。例如常量，變量等等。
................
閱讀全文

posted @ 2007-08-03 14:58 009 閱讀(1679) | 評論 (0) | 編輯收藏

VC編譯OCCI的解決方案

摘要: 1、增加接口。在OcciDml.hpp中增加extern "C" int __declspec(dllexport) funA(char* a); 在OcciDml.cpp中將函數(shù)聲明修改為extern "C" int __declspec(dllexport) funA(char* a)
2、修改頭文件。在需要引入的所有類中，替換為
#ifndef OCCI_ORACLE
#define WIN32COMMON
#include "occi.h"
using namespace oracle::occi;
using namespace std;
#endif
否則會出現(xiàn)錯誤如下：
d:\oracle\ora92\oci\include\occicontrol.h(1132) : error C2995: 'getVector' : template function has already been defined
d:\oracle\ora92\oci\include\occicommon 閱讀全文

posted @ 2007-08-03 14:27 009 閱讀(1500) | 評論 (0) | 編輯收藏

扭曲變換加密(ZT)

摘要:
一，一般來講，加密就是加殼

我們經常考慮，一個可執(zhí)行文件，怎么樣加密才能安全呢？

一般用的手段，是加殼。加殼工具的工作原理，就是把可執(zhí)行文件的代碼與
數(shù)據(jù)都進行加密變換，作為數(shù)據(jù)存放。生成的目標文件入口代碼是加殼軟件
準備好的防跟蹤代碼。經過漫長的防跟蹤代碼后，會把原始可執(zhí)行文件的代碼
與數(shù)據(jù)段恢復，然后跳轉到原來的入口處，繼續(xù)運行。這樣做的缺點是，不管
你的加密多強，防跟蹤代碼多牛，只要一運行，在內存中就全部恢復了。只要
把內存映象dump下來，反匯編一下，就清清楚楚了。甚至有工具可以直接把
dump下來的內存映象存為可執(zhí)行文件。這樣加密就徹底失敗了。
...... 閱讀全文

posted @ 2007-08-03 13:06 009 閱讀(308) | 評論 (0) | 編輯收藏

OllyDbg Format String 0day分析和利用(ZT)

摘要:
OD作為一款Ring3下的調試器以優(yōu)異的性能博得了廣大密界愛好者的一致肯定，就在最近milw0rm上公布了一個OD 0 day的POC（OllyDbg v110 Local Format String Exploit），以前寫了很多棧溢出的漏洞，卻很少有Format String的漏洞，這次OD給我們提供了一個熟悉Format String問題的機會（只有原版的OD存在此問題，看雪論壇的修改版OllyIce不存在此問題）。
........ 閱讀全文

posted @ 2007-08-03 13:03 009 閱讀(313) | 評論 (0) | 編輯收藏

編寫Unicode有效的Shellcode(ZT)

摘要:
對于溢出愛好者來說，能夠編寫Shellcode是一個必備的基本技能,特別是能應對各種在實際情況中對Shellcode存在各種限制條件的時候，這種能力就顯得尤為重要了。黑防2007年第二期中介紹了純字母數(shù)字的Shellcode的編寫，在3期中的WinRAR 7z溢出中就派上了用場。Unicode大家應該不陌生,在一些大型程序中，比如Word、Excel考慮到不同語言平臺的差異性,都會使用 Unicode，在利用這些漏洞的時候，我們以往的Shellcode就難以適用了。一個普通的Down&Exec的Shellcode經過 MultiByteToWideChar函數(shù)轉換成Unicode后
..........
閱讀全文

posted @ 2007-08-03 13:02 009 閱讀(366) | 評論 (0) | 編輯收藏

公告

常用鏈接

留言簿(113)

隨筆分類

隨筆檔案

文章分類

相冊

Link

搜索

最新評論

閱讀排行榜

評論排行榜

酒水不犯茶水葉的離去，是風的追求還是樹的不挽留？
BlogJava \| 首頁 \| 發(fā)新隨筆 \| 發(fā)新文章 \| 聯(lián)系 \| 聚合 \| 管理	隨筆：325 文章：0 評論：612 引用：0