爱豆文档 - 信息安全文档下载平台 - idocdown.com （部分文档，免费下载）

. . . . . .

从零探索现代windows内核栈溢出-以HEVD练习为例（上）

# Windows内核驱动开发与栈溢出漏洞利用基础教程 ## 环境搭建 ### 前置环境要求 - Windows10系统 - Vmware虚拟机 - Visual Studio 2019 + WDK (Windows Driver Kit) - Windbg Preview (调试工具) - HEVD项目 (HackSys Extreme Vulnerable Driver) v3.00 ### 驱动开发环境配置 1. 安装VS2019和WDK 2. 如果VS没有KernelModDriv

2025-08-23 15:24:07

从零探索现代windows内核栈溢出-以HEVD练习为例（中）

# Windows内核栈溢出漏洞利用教程 - 以HEVD为例 ## 1. 准备工作 ### 1.1 理解内核交互基础在开始内核漏洞利用前，需要了解与Windows内核的交互方式： - 通过设备驱动程序的设备链接进行通信 - 使用`CreateFileW`打开设备链接 - 使用`DeviceIoControl`发送控制代码(IOCTL)与驱动交互 ### 1.2 HEVD驱动简介 HEVD (HackSys Extreme Vulnerable Driver)是一个故意设计有漏洞的驱

2025-08-23 15:22:32

从零探索现代windows内核栈溢出-以HEVD练习为例（下）

# Windows内核栈溢出漏洞利用技术详解 - 以HEVD为例 ## 1. 内核漏洞利用基础概念 ### 1.1 ROP (Return-Oriented Programming) ROP是一种利用现有代码片段(gadget)来构建攻击链的技术： - **基本原理**：通过控制栈指针，将一系列gadget地址按顺序布置在栈上，每个gadget以`ret`结束，从而形成执行链 - **关键gadget示例**： ```asm pop rcx ret mov cr4,

2025-08-23 15:20:17

ELF文件保护策略及应对技巧

# ELF文件保护策略及应对技巧详解 ## 一、ELF保护机制概述 ELF(Executable and Linkable Format)是Linux系统下的可执行文件格式。现代编译器提供了多种安全保护机制来增强ELF文件的安全性，主要包括： 1. **NX(No-eXecute)**: 栈不可执行保护 2. **Canary**: 栈溢出检测保护 3. **PIE(Position Independent Executable)**: 地址随机化保护 4. **RELRO(Relocat

2025-08-23 15:17:59

2023SCTF-Syclang-关于中间指令的分析

# Syclang中间指令分析与逆向工程教学文档 ## 1. 题目概述 2023 SYCTF中的Syclang题目展示了一个自定义的反编译器，它将源代码转换为中间指令(IR)、汇编等多种格式。本题主要关注对中间指令的分析，通过逆向工程理解程序逻辑。 ## 2. 中间指令结构分析 ### 2.1 数据结构定义 ```c STRUCT exp : ARRAY .key(int)[24] // int类型，占8字节，8*24=192 ARRAY .L(int)

2025-08-23 15:16:52

fini_array劫持

# ELF程序终止函数劫持技术详解：.fini_array利用 ## 1. 背景知识：ELF程序启动与终止流程 ELF (Executable and Linkable Format) 程序的执行流程比表面看起来要复杂得多： 1. **程序起点**：`main`函数并不是程序的真正起点，`.text`段的起点是`_start`函数 2. **启动流程**： - `_start`函数调用`__libc_start_main`完成程序启动和退出 - `main`函数的返回地址实际上

2025-08-23 15:15:14

关于DLL转发劫持的思考

# DLL转发劫持与白程序加载恶意DLL技术详解 ## 一、技术概述 DLL转发劫持是一种利用Windows DLL加载机制的攻击技术，通过劫持目标程序加载的合法DLL，将其替换为恶意DLL，同时保留原始DLL的功能。本文介绍的技术在传统DLL劫持基础上进行了创新： 1. 不直接将shellcode写入劫持的DLL中（避免查杀） 2. 通过劫持的DLL启动白程序（合法程序） 3. 由白程序加载最终的恶意DLL 4. 即使原始目标程序退出，恶意进程仍保持运行 ## 二、技术实现步骤 ##

2025-08-23 15:14:05

取消Avast挂钩Hook

# 取消Avast挂钩Hook - 进程缓解策略防止第三方DLL注入 ## 1. 背景知识 ### 1.1 DEP (数据执行防护) DEP (Data Execution Prevention) 是微软的一项安全缓解措施： - 工作原理：将内存的某些区域标记为仅用于数据，不允许从这些区域执行代码 - 作用：防止攻击者从数据区域执行恶意代码 - 默认状态：Windows默认开启 - 查看方式： - Windows安全中心 → 应用和浏览器控制 → 攻击防护设置 - 使用Proces

2025-08-23 15:13:06

API挂钩之Detours

# API挂钩技术之Detours库详解 ## 1. API挂钩概述 API挂钩是一种拦截和修改Windows API行为的技术，广泛应用于安全领域： - **应用场景**： - 恶意软件分析与调试 - EDR(终端检测与响应)产品实现 - 函数调用监控与修改 - **实现原理**： - 使用自定义函数替换原始API函数 - 在调用原始函数前后执行附加操作 - 类似于Java中的AOP(面向切面编程) ## 2. Detours库简介 Detours是微软开源

2025-08-23 15:12:07

python代码保护及破解技术(上)

# Python代码保护及破解技术详解 ## 一、Python代码执行原理 Python是一种解释型语言，其执行过程分为两个主要阶段： 1. **编译阶段**：Python解释器将源代码(.py)编译为字节码(.pyc) 2. **执行阶段**：Python虚拟机(PVM)执行编译好的字节码 ### .pyc文件结构 .pyc文件由三部分组成： 1. **Magic Number** (4字节) - 标识Python版本，不同版本有不同的magic number - 格式

2025-08-23 15:10:31

ROME反序列化利用链

# ROME反序列化利用链深入分析与利用 ## 前言 ROME是一个Java库，用于处理RSS和Atom feeds。在其实现中，存在一些可以被利用进行反序列化攻击的类，特别是`ToStringBean`和`EqualsBean`类。本文将详细分析这些利用链的原理和构造方法。 ## 核心利用类分析 ### ToStringBean类 `ToStringBean`类是ROME库中的核心利用点： 1. 构造函数：`public ToStringBean(Class beanClass,

2025-08-23 14:59:43

内网渗透之NTLM中继劫持

# NTLM中继劫持攻击技术详解 ## 协议基础 ### NTLM协议概述 NTLM(NTLAN Manager)是Windows NT早期版本的标准安全协议，Windows 2000及后续版本为保持向后兼容而继续支持。NTLM协议主要提供认证、完整性和机密性保护，包含三个版本： - NTLM v1 - NTLM v2 - NTLM Session v2 ### NTLM认证流程 1. **Type1 message(协商)**：客户端向服务器发送包含明文用户名的请求 2. **Type2

2025-08-23 14:58:36

跳转到页