原创 windbg 調試堆時 遇到調試堆 baadfood feeefeee 關閉方法
用windbg 調試堆時，遇到了一些問題。 我發現堆的末尾都是以 8ab + 800 結尾的。而且刪除的堆內容被填充爲 feeefeee ， 而那些新申請沒有初始化的堆，則被填充爲 baadfood 。 這是因爲系統檢測到了調試器，
2018-11-22 11:07:30
1
原创 Windows下pdb符號文件找不到的問題
在windows下用windbg調試時，符號文件是很重要的。沒有符號文件就先廢掉了windbg的一半功力。 對於window xp 的系統，微軟官方已經不再提供符號文件了，所以只能自己下載離線符號文件包用了。可以在網上找一找，如果找不
2018-11-12 22:10:50
1
原创 使用ida 對任意一段機器碼進行反彙編
有時候我們需要對一段機器碼進行反彙編，但這段機器碼又不是完整的pe格式，那麼我們該如何用ida對其進行反彙編呢？ 首先將這段機器碼保存爲一個二進制的 .exe文件。 這裏我們的winhex ，選擇對應的塊，燃火右鍵 編輯->複製選塊
2018-11-07 11:38:21
10
原创 WinDbg 調試 Edge
如何用 windbg 調試 edge？ 由於 edge 是 uwp 程序， 我們不能再像一般程序那樣直接 attach to a process 。 微軟官方說： A UWP app will not be suspended in
2018-10-20 11:41:26
44
原创 小白分析漏洞之Microsoft Edge Chakra OP_NewScObjArray Type Confusion 遠程代碼執行
參考： https://paper.seebug.org/692/#1 原文作者的分析環境是：Windows 10 x64 + Microsoft Edge 42.17074.1002.0 我的分析環境是：Windows 10 X8
2018-10-20 11:41:26
原创 win10 查詢 uwp 安裝包 信息
PS C:\Users\Mr.wang> Get-AppxPackage *MicrosoftEdge Name : Microsoft.MicrosoftEdge Publisher :
2018-10-20 11:41:26
11
原创 調試器無法正常中斷 IE8
這兩天分析 cve-2011-0027 的時候，一直遇到一個問題，windbg 或者 od沒有辦法正常中斷 ie8。 什麼意思呢？就是我用調試器附加了進程。當進程遇到異常時會彈出下面的窗口： 這就很奇葩了， 調試器：我都附加你了，爲
2018-10-12 22:10:59
原创 win10 配置 cmder
最近一直在win10 下辦公，非常想念linux的感覺。 恰好最近需要在終端下運行一些腳本，所以嘗試了一下windows 下的終端利器： cmder cmder 如何安裝和基礎配置我就不說了，網上一大堆。這裏主要講講我遇到的問題。 配
2018-10-06 10:34:49
原创 win10 安裝 wireshark 無法安裝 winpcap 的問題
今天想安裝以下wireshark ，結果沒想到會安裝出錯。什麼玩意，wireshark 不是應該對windows很友好嗎？ 具體情況如下： 安裝的時候提示 a newer version of winpcap is already
2018-10-04 10:32:55
149
原创 OllyDbg調試總是進入RtlRaiseException 異常處理函數
用OllyDbg調試軟件時，有時候會遇到一些奇怪的異常，莫名就進入了一個異常處理函數。讓人很是苦惱，不能正常的進行調試。 比如我在分析cve-2010-2883 漏洞時，用Od調試Adobe reader時，就會莫名進入異常處理函數中
2018-09-16 22:10:13
原创 ZwQuerySystemInformation 學習
https://blog.csdn.net/suppercoder/article/details/9341941 這是一篇介紹分別在Ring0 和 Ring3 下是使用ZwQuerySystemInformation 函數來獲取一些
2018-09-13 11:55:26
原创 提權調用門 ret返回測試
kd> p 001b:00c91874 ff5dfa call fword ptr [ebp-6] kd> r eax=00000001 ebx=7ffd6000 ecx=0012f9ec edx=778570
2018-09-13 11:55:26
原创 權限令牌token 提權
EPROCESS 裏有個token結構，是進程的權限令牌，如果能把system進程的token 替換到 一般進程的eprocess裏，則一般進程也可以獲得system權限。但是這個操作需要Ring0的權限，因爲system的eproc
2018-09-13 11:55:26
原创 Windows 子系統窗口管理
當用戶登錄到Windows 系統中時，winlogon 進程會創建一個交互式窗口站，和三個桌面。應用程序所創建的窗口，一定屬於某一個桌面。 交互式窗口站包含剪貼板，鍵盤，鼠標，顯示器和三個桌面。三個桌面分別是登陸桌面，交互桌面，屏幕
2018-09-13 11:55:26
原创 通過kpcr 找到system 進程的地址
__asm { pushad int 3 mov eax, fs:[0x124] mov ebx, [eax + 0x50] mov eax, 4
2018-09-13 11:55:26