原创 systeminfo、WmiPreSE.exe，dll劫持
在執行systeminfo命令時，systeminfo.exe內部通過wmi和LPC的方式獲取數據，WmiPrvse.exe在執行實際操作時會去加載tzres.dll dll路徑：C:\Windows\System32\wbem
2020-06-25 12:34:59
9
原创 神祕的藍屏代碼0xc000007e
之前一直使用vs2013進行開發，最近換了vs2019，剛寫好的helloworld驅動項目，在win7虛擬機中加載就藍屏，錯誤碼是0xc000007e，開始還以爲是我用cpp來寫驅動導致的，後面改成c版本還是藍屏，同樣的錯誤碼！
2020-06-21 18:04:34
6
原创 error MSB4057: 該項目中不存在目標“Deploy”
使用vs2013創建一個驅動項目時，自動創建對應的解決方案。 然後在驅動的解決方案下面再創建一個控制檯項目，調試控制檯項目時，彈出窗口 error MSB4057: 該項目中不存在目標“Deploy”。 解決辦法： 首先把當前項
2020-06-21 18:04:33
6
原创 windbg調試符號下載不了
微軟符號服務器已經很久沒ping通了，掛上全局代理可以下載符號，但是又不想總是開着全局代理。 後來找到一種替代方案，可以通過設置系統環境變量，來讓下載符號的流量走代理服務器 _NT_SYMBOL_PROXY 設置好代理後，再下載
2020-06-21 17:23:25
原创 內核中訪問HKCU註冊表
在內核中如果要訪問HKEY_LOCAL_MACHINE下面的註冊表子健，可以用\Registry\Machine代替。 例如，應用層要想訪問HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft這個註冊表， 對
2020-06-21 17:23:25
原创 內核字符串操作遇到的一些坑
1） RtlDowncaseUnicodeString 這個函數可以將UNICODE_STRING類型的字符串全部轉爲小寫字符，比較坑的是，轉換後的字符串長度，並不帶NULL結束符。 使用以下代碼進行測試 UNICODE_STR
2020-06-21 17:23:25
1
原创 VBA版本獲取ClientKey
Sub AutoOpen() ' ' AutoOpen 宏 ' On Error GoTo ErrorHandler Set xmlhttp = CreateObject("WinHttp.WinHttpRequest.5.1")
2020-06-21 17:23:25
原创 KbdClass鍵盤過濾驅動以及書中幾處錯誤
《寒江獨釣》這本書中的鍵盤過濾驅動例子中，照着書上的例子抄完，代碼有些錯誤的地方！ 書上的例子有3處錯誤，分別如下： 1）對象類型聲明錯誤 extern POBJECT_TYPE IoDriverObjectType; 修改爲以
2020-06-21 17:23:25
16
原创 VS2008創建空項目，一堆報錯
前不久剛重裝了系統，安裝vs2008，配置開發環境，從git上pull下來公司的代碼進程編譯也沒問題！ 今天用vs創建了一個空的win32控制檯項目，編譯報了一堆錯誤，仔細一看報錯信息全都是找不到cruntime的函數 後來經過
2020-06-21 17:23:25
原创 內核中獲取操作系統安裝盤路徑
NTSTATUS GetSystemRootPath(PUNICODE_STRING pusSystemRoot) { NTSTATUS status = STATUS_UNSUCCESSFUL; PFILE_OBJECT p
2020-06-21 17:23:25
19
原创 讀取QQ ClientKey C++版本
c++模擬會話登錄，訪問QQ的SSO，讀取ClientKey，不需要注入，讀取QQ ClientKey C++版本 需要注意的是，這種方法獲取的clientkey長度是224位，和之前注入dll獲取的不一樣。 注入dll獲取的是
2020-06-21 17:23:25
3
原创 vs2019編譯openssl靜態庫
最近寫個小工具需要依賴openssl的靜態lib庫，本來是有其它同事編譯好的x32和x64版本的lib庫，可惜他編譯的lib庫是用vs2008環境編譯的。 我這個新項目使用vs2019開發，所以不能直接引用現有的lib庫，只能重新
2020-06-21 17:23:25
13
原创 僞造父進程的另一種方式
創建任意進程，父進程爲explorer.exe #include "stdafx.h" #include <windows.h> #include <shlwapi.h> #include <shlobj.h> #pragma
2020-06-21 17:23:25
2
原创 調試.net樣本反射加載dll並動態Invoke函數
一個.net寫的木馬樣本，內嵌了兩個資源，分別是： LAN_Core （.net dll程序，用於解密png中的assembly） ESgFXCQfRbAmmGdIaVSZ.png （用圖片隱寫技術嵌入了另一個.net程序
2020-06-21 17:23:25
1
原创 javascript shellcode to c shellcode
分析腳本類的shellcode時，需要轉成C版本的，更方便調試一些，爲此寫了一個010editor腳本，一鍵轉換成c格式，並自動複製到剪切板。 新開打開一個tab文件，使用crtl+shift+v粘貼shellcode，刪除第一個
2020-06-21 17:23:14
1