Windows內核函數
字符串處理 在驅動中一般使用的是ANSI字符串和寬字節字符串，在驅動中我們仍然可以使用C中提供的字符串操作函數，但是在DDK中不提倡這樣做，由於C函數容易導致緩沖區溢出漏洞，針對字符串的操作它提供了一組函數分別用來處理ANSI字符串和UNICODE字符串。 針對兩種字符串，首先定義 ...
原文：windows：根據特征碼查找內核任意函數
在windows平台做逆向 外掛等，經常需要調用很多未導出的內核函數，怎么方便 快速查找了 可以先用IDA等工具查看硬編碼，再根據硬編碼定位到需要調用的函數。整個思路大致如下： 先查找目標模塊 遍歷模塊的方式有多種。既然通過驅動在內核編程，這里選擇遍歷driverObject的DriverSection字段來遍歷內核所有模塊，核心代碼如下： 傳入driverObject 模塊名稱，得到模塊基址 返 ...
2020-06-01 11:43 0 712 推薦指數：
相關推薦
windows內核中殺任意進程，可殺360！
廢話不多說 先上代碼。 static void DProKill(HANDLE pid){ PEPROCESS pe = DProPid2Eprocess(pid); if (NULL == ...
Windows內核開發-7-IRP和派遣函數
Windows內核-7-IRP和派遣函數 IRP以及派遣函數是Windows中非常重要的概念。IRP 是I/O Request Pocket的簡稱，意思是I/O操作的請求包，Windows中所有User和Kernel之間的交流都會被封裝成一個IRP結構體，然后不同的IRP會被派遣到不同的派遣 ...
使用 ftrace 實現一個跟蹤任意命令內核函數的小工具【轉】
轉自：https://zhuanlan.zhihu.com/p/457795074 ftrace 是啥 簡介 ftrace 是基於 Linux 中 tracefs 實現的一種可以用來追蹤內核函數執行時間、調用關系、調用堆棧等信息的文件系統。 Linux 中可通過 cat /proc ...
病毒特征碼
特征碼選取的基本方法 MD5以及CRC32這樣的算法 1、計算校驗和 這種方法的特點是簡單快速，也是我們之前的專殺工具所采用的方式。但是采用這種方法，一種特征碼只能匹配一個病毒，即便病毒的變動很小，也需要重新提取特征碼 ...
Word·查找任意漢字的方法
閱文時長 | 0.12分鍾 字數統計 | 203.2字符 主要內容 | 1、引言&背景 2、聲明與參考資料 『Word·查找任意漢字的方法』 編寫人 ...
Win10X64 獲取SSDT、Shadow SSDT和內核函數地址--Windows內核學習記錄
編譯環境Windows10 X64 首先通過 msr = (PUCHAR)__readmsr(0xC0000082);獲取內核函數入口地址, msr在開啟內核隔離模式下獲取到的是KiSystemCall64Shadow函數地址,在未開啟內核隔離模式下獲取到的是KiSystemCall64 ...
特征函數
目錄 特征函數 逆轉公式 多元特征函數 習題 特征函數 定義 若 \(\xi\) 為實隨機變量，則稱 \[f(t) = Ee^{it\xi},\quad -\infty<t<+\infty \] 為 \(\xi ...