原创 誰調用了我----獲取調用者函數
如下圖： 圖中的var_s0變量對應地址ebp,[ebp+4]保存函數返回地址，[ebp+8]是第一個參數。在call sub_xxx這種情況下，返回地址等於當前地址加上5字節。如下圖： 上面這個應用例子中是想獲取ZwLoadDr
2020-07-04 17:47:38
原创 Turla中的rootkit_fdisk.sys分析(一）
（果然分析不下去了，這個樣本涉及的內容太廣，我得去補充補充知識再來接着分析了） 最近發現這個模塊比較有趣，還是個x64上的，正好可以練習一下x64的彙編，寫下來有個更好的理解。由於個人能力有限，這個過程可能會持續幾個月，或者更長，不知道能
2020-07-04 17:47:38
1
原创 通過ZwSetSystemInformation在驅動中加載驅動
環境：win7 32 ,材料: ntoskrnl.exe , spldr.sys spsys.sys 看到一個文件叫spldr.sys,loader for security processor,一個加載器。於是就進去看看如何實現的。在s
2020-07-04 17:47:38
15
原创 簡單的鍵盤按鍵記錄（無碼）
最近看到 一個 樣本 ，裏面有鍵盤 按鍵記錄的功能 ，而且 實現也比較 簡單，運行 記錄 的效果還 不錯 。主要思路如下 ： //假代碼 int i=0; for(i=0;i<0x100;i++) { Get
2020-07-04 17:47:38
1
原创 驅動簽名學習
簡述如何通過CryptAPI實現簽名的生成，並打到pe文件裏,時間戳部分還沒實現。 獲取PE文件簽名信息的工程：https://github.com/leeqwind/PESignAnalyzer 下面是一個有效的簽名信息 】 參考圖
2020-07-04 17:47:38
1
原创 Equation Group 模塊lsasrv32.dll中數據獲取(補充一些行爲分析)
這次樣本中還是像之前的風格數據在使用前需要解密，該樣本中要處理的數據是連續存起來的，使用時就一次都解密。 void compute_seed(int *a,int *b,int *c) { int temp=0,v=0;
2020-07-04 17:47:38
1
原创 啊，又要找工作了。
好不容易在離家不遠的地方找了份工作，工資也 不錯（好像我並 不 值這麼多）。從入職 到現在試用期快 一個 月，我才 發現其實並沒有那麼容易 。 之前在外地，離家較遠；今年又是疫情 ，所以決定回來家工作，正好 也找到了一份看起
2020-07-04 17:47:38
原创 windows中服務（service）學習
感謝 songtzu. 服務程序的編寫可以參考：https://www.cnblogs.com/songtzu/p/3543920.html 服務的啓動 從服務程序到服務正真運行起來，可以分爲兩步。一，創建服務；二，啓動服務。 創建服務，
2020-07-04 17:47:38
原创 TinyXPB\loader16.asm
use16 ORG 0x00 ;============================================================================================= ;Ho
2020-05-14 11:50:51
原创 彙編解析pe文件
主要是爲了練習一下彙編語言編成和pe文件結構。 #include<stdio.h> #include<windows.h> //winnt.h char *OutputDebug="OutputDebugStringA\0";//l
2020-04-10 01:10:34
原创 打工
我是一名來自農村的外地打工仔. 不知不覺又到年底了,我在目前的這家公司幹得時間也不短 了,發現這個月的工資還是那麼多,於是就向 主管提出了疑問,主管也給了肯定的回答.這應該是個令人高興的事情,可是細細琢磨之後我心裏有了些疑問.如果我不主
2020-02-22 19:59:57
原创 獲取調用棧信息的函數RtlCaptureStackBackTrace()
這是一個導出函數，使用時必須試探頁面產生異常的能力（probe the ability to take page fault)—(翻譯 ddk文檔）。 USHORT //返回捕捉到的結構數 RtlCaptureStackBac
2020-02-22 19:59:47
4
原创 分享網上有內容的鏈接，方便有需要的
dll編寫相關：鏈接：https://www.cnblogs.com/talenth/p/9585208.html dll劫持：鏈接：https://www.cnblogs.com/wayuzhi/p/4152516.html dll相關
2020-02-22 19:59:47
原创 通過對象名（ObjectName）匹配，確定所屬的進程
大概流程： 首先通過ZwQuerySystemInformation(SystemHandleInformation,*,*)獲取句柄信息，然後根據句柄調用ZwQueryObject(*,ObjectNameInformation,*)獲
2019-09-05 00:53:17
1
原创 Turla中的rootkit_fdisk.sys分析(未完）
最近發現這個模塊比較有趣，還是個x64上的，正好可以練習一下x64的彙編，寫下來有個更好的理解。由於個人能力有限，這個過程可能會持續幾個月，或者更長，不知道能不能弄完。下面通過一些彙編片段來學習它的編程思路及技巧。 僅供參考，如有錯誤歡迎
2019-08-03 00:51:28
2