一个通用的简单反远控技术
序言:首先,我不能保证全部拦住,只能保证拦住简单的那种,没经过特殊处理的 我们都知道，远程控制木马病毒,一直是杀毒软件困扰的 但是我们通过观察他们的表面特征,都能发现几个共同点 1…
致盲Windows上的EDR
致谢 我的对于EDR的理解离不开众多优秀的安全研究人员的帮助。以下是一些非常有帮助的文章和演讲，它们帮助我获得了所需的理解，并让我在即将呈现的研究中能够快速上手。如果你有兴趣深入了…
绕过映像加载内核回调函数
随着安全团队的不断进步，攻击者完全控制其操作的每个部分，从基础架构到在终端上发生的个别操作，变得至关重要。尽管如此，映像加载事件一直是我尽量忽视的内容，尽管它们可以深入了解终端上的…
将OLLVM从LLVM4移植到LLVM16
本文介绍了将OLLVM从官方的LLVM4分支移植到最新的LLVM16，包含LLVM API更新和OLLVM的BUG修复。 完整源码 我不想知道怎么适配的，给我源码！这是GitHub…
加密壳之ACProtect系列通杀
背景 在经过几天的研究和之前脱壳学习的积淀，终于是把ACProtect系列的脱壳方法和IAT修复部分给搞定了，趁着研究有些成果，将整个脱壳和IAT修复过程做个记录，整理整理就有了本…
vmp是如何修复api的
1.vmp 在执行完形如以下指令时 完成了对api的解密以及调用 1 2 3 4 5 lea reg,[imm0] mov reg,[reg+imm1] lea reg,[reg+…
脱壳实践笔记-反硬件断点
01-寻找OEP pushad后，esp定律失败（壳oep处有花指令，按键1添加一个nop失效，手动右键-二进制修改为90 在主模块代码起始地址，使用Ctrl+B搜索“FF 15 …
脱壳实践笔记-动态空间填充IAT
01-找OEP：esp定律 F8过PUSHFD、esp右键-HW break、F9 单步几下到达：有个sub esp,0x58，下面还有一个call（一般就是GetVersion）…
AArch64函数栈的分配,指令生成与GCC实现(下)
一、函数栈中的位置标记 gcc编译过程中会为当前函数布局函数栈，函数栈中的每一个元素位置最终都会对应当基于硬件寄存器sp或fp的偏移，但在编译过程中这些偏移不是一次性确定的。g…
AArch64函数栈的分配,指令生成与GCC实现(上)
一、术语定义 为便于理解，本文中后续术语含义解释如下: 首地址: 一个变量/内存的首地址指的是此变量/内存最低位的地址 尾地址: 一个变量/内存的尾地址指的是此变量/内存最高地址(…
Python 懂车帝综合口碑数据
Python 懂车帝综合口碑数据 需求 懂车帝全系车型综合口碑 优点 缺点 统计数据 操作环境 win10 Google nexus5x（root） Python3.9 Charl…
MemoryModule x86x64 内存加载DLL
0x0 前言 距离上次我写的SimpleDpack教程（为了理解加壳原理自己写的轻量级压缩壳），已经有一年多了。前几天修复x64的IAT载入序号问题，于是想着可以用这个原理自己重写…
编程要学的有参main函数之命令行参数杂谈
1、软件main函数内部处理 2、终端命令行窗口传参 3、注册表相关传参 新手小白入门贴，大神请忽视跳过，如有不当之处，敬请谅解。 内部处理和其他函数相同，大家估计都很熟悉了，关于…
向 dwm.exe 注入shellcode 截取屏幕画面
源码地址: dwm-screen-shot 相关帖：shellcode 生成框架 原理 将shellcode注入dwm.exe 进行DXGI屏幕截取 特点 兼容绝大部分Window…
