windows下运行一个exe程序，一般都是直接双击exe，然后就能运行了，对于普通小白用户来说非常简单易用，所以windows能垄断桌面个人PC领域几十年是有原因的 对于业内的人士而言，当用双击exe的时候： 为啥能运行这个程序了 所谓 运行 的本质到底是什么 为什么能在任务管理器或其他类似process hacker的软件查到正在运行的程序 对于病毒 木马而言，怎么才能让用户点击运行后又不会 ...
2021-05-05 22:26 1 947 推荐指数：
问题现象：服务器负载很高，top和ps 无法查看进程，有异常任务计划但是查不到进程排查困难 排查还在/etc/hosts发现增加了如下异常映射 猜测是，但是没有进程最终核实到是/etc/ld.so.preload 设置了隐藏进程 尝试直接删除或编辑此文件无效， 最终尝试echo ...
隐藏windows服务（效果：在services.msc中看不到服务） https://mrxn.net/Infiltration/503.html 以上方法在windows 2008上使用，当次有效；重启后发现服务在服务管理器中也找不到了，完美！！ 在windows 2012中也测试 ...
一、PE文件结构 PE即Portable Executable，是win32环境自身所带的执行体文件格式，其部分特性继承自Unix的COFF（Common Object File Format）文件格式。PE表示该文件格式是跨win32平台的，即使Windows运行在非Intel的CPU ...
通过Hook SSDT (System Service Dispatch Table) 隐藏进程 1.原理介绍: Windows操作系统是一种分层的架构体系。应用层的程序是通过API来访问操作系统。而API又是通过ntdll里面的核心API来进行系统服务的查询。核心API通过对int ...
内存加载PE文件（nim学习系列） 项目地址： https://github.com/S3cur3Th1sSh1t/Nim-RunPE 该项目源于https://github.com/aaaddress1/RunPE-In-Memory，S3cur3Th1sSh1t将其转成nim lang ...
在学习之前，我们来看看上次的进度 以及对应的结构体 同样的，我们先在msdn中查看下这个结构体 第一个值，表示文件的格式，它可能的值有 IMAGE_NT_OPTIONAL_HDR_MAGIC，这个值包括两个值，分别为 ...
原来是4096B，也就是4kb了。 第十二个值是FileAlignment，表示文件对齐粒度。 The alignment of the raw data of sections in the image file, in bytes. The value should ...
主要步骤： 1.将要加载的文件读取到内存中(简称为文内)，检查文件格式无误后，根据可选PE头(简称op头)的SizeOfImage，申请出一块空间用于存储该文件加载到内存后展开的数据(简称为内内)。记得先全部初始化为0，免去后续拷贝中对齐补0的步骤。 2.将文件数据拷贝到申请出来内存空间 ...
