0%

非常欢迎大家加入我的知识星球。

以下列表是我在星球中做的一些技术分享,进入该索引的文章通常是我认为比较代表性必看的一类文章,基础知识部分包含了我认为是在本知识星球进行学习必备的知识,具备基础知识后的后续内容会按照分类整理依次整理,并及时更新。

当前更新时间:2022年6月8日。

阅读全文 »

010editor 模板编写

参考文档:
https://www.sweetscape.com/010editor/manual/IntroTemplates.htm

https://bbs.pediy.com/thread-257797.htm

https://lyana-nullptr.github.io/2024/07/27/try-the-template-of-010editor/

变量

模板文件的开头会有如下信息:

1
2
3
4
5
6
7
8
//      File: 
// Authors:
// Version:
// Purpose:
// Category: WeChat
// File Mask: *.wxapkg
// ID Bytes: BE, 56 31 4D 4D 57 58
// History:

程序会优先用File Mask匹配文件扩展名,再用ID Bytes匹配魔术数,匹配成功的话就会自动加载模板文件。

阅读全文 »

前言

常规的shellcode注入一般是通过VirtualAllocEx,WriteProcessMemoryCreateRemoteThread 来实现的,但是这种方式是被安全软件重点监控的,同时微软提供的ETW接口也是可以轻易检测出上述方式进行代码注入的痕迹。本文的核心是讲解怎么利用具备 RWX-S 权限且自身有签名的白DLL进行一种比较隐蔽的shellcode注入,
并讲解具体的代码实现以及在写代码实现的过程中遇到的坑。本方法是由文章提出的:https://billdemirkapi.me/sharing-is-caring-abusing-shared-sections-for-code-injection/ ,详情可以参考此文章。

我的知识星球开启内测了,用微信扫描下面的小程序就可以免费加入,来和我一起学习安全技术。(在圈子内可以下载到源代码)

阅读全文 »

前言

近期由于某些项目的原因,突然激发了我对windows内核提权原理的兴趣。于是就想研究一下,在拿到一个内核态任意代码执行漏洞后,到底有多少种方法常用的方法还能在windows 10上成功提权,针对这些不同的提权方法到底有没有一个比较通用的拦截方案? 所以就有了如下这篇学习记录。

不同于ring3层的shellcode那样功能多样化,在的漏洞利用过程中,ring0层的shellcode通常用来获取 nt authority\system权限,本文基于的前提是已经有一个内核态任意代码执行漏洞的前提下,学习三种还能够在windows 10 上成功提权的方法,并写出相对应的shellcode。

阅读全文 »

本文首发于安全客: https://www.anquanke.com/post/id/248688

前言

在上一节我们已经通过自己编写的编码器对shellcode进行了编码,并且构建了一个ELF文件,但是出乎意料的是McAfeeMcAfee-GW-Edition 还会报毒为木马,经过我的研究,我发现McAfee判黑的逻辑非常简单,只要文件大小小于某个阈值,并且EntryPoint附近有无法反汇编的数据,就会被报黑。这么看来,想让上一节的ELF文件不被所有的引擎检测就非常简单了,只需要在文件结尾再写一些乱数据就搞定了。

阅读全文 »