模型出错了，请稍后重试~
CreateFileMapping的MSDN翻译和使用心得 测试创建和打开文件映射的时候老是得到”句柄无效”的错误, 仔细看了MSDN以后才发觉是函数认识不透, 这里把相关的解释翻译出来
内存映射API函数CreateFileMapping创建一个有名的共享内存： HANDLE CreateFileMapping( HANDLE hFile, // 映射文件的句柄， //设为0xFFFFFFFF以创建一个进程间共享的对象 LPSECURITY_ATTRIBUTES lpFileMappingAttributes, // 安全属性 DWORD flProtect, // 保护方式 DWORD dwMaximumSizeHigh, //对象的大小 DWORD dwMaximumSizeLow, LPCTSTR lpName // 必须为映射文件命名 );
共享内存的方式原理就是将一份物理内存映射到不同进程各自的虚拟地址空间上，这样每个进程都可以读取同一份数据，从而实现进程通信。因为是通过内存操作实现通信，因此是一种最高效的数据交换方法。
通过上一篇文章.我们理解了虚拟内存与物理内存的区别. 那么我们有API事专门申请虚拟内存与物理内存的.
mmap 另一个非常重要的特性是：减少内存的拷贝次数。在 linux 系统中，文件的读写操作通常通过 read 和 write 这两个系统调用来实现，这个过程会产生频繁的内存拷贝。比如 read 函数就涉及了 2 次内存拷贝：
PE结构是Windows系统下最常用的可执行文件格式，理解PE文件格式不仅可以理解操作系统的加载流程，还可以更好的理解操作系统对进程和内存相关的管理知识，在任何一款操作系统中，可执行程序在被装入内存之前都是以文件的形式存放在磁盘中的，在早期DOS操作系统中，是以COM文件的格式存储的，该文件格式限制了只能使用代码段，堆栈寻址也被限制在了64KB的段中，由于PC芯片的快速发展这种文件格式极大的制约了软件的发展。
在计算机安全领域，ShellCode是一段用于利用系统漏洞或执行特定任务的机器码。为了增加攻击的难度，研究人员经常探索新的传递ShellCode的方式。本文介绍了一种使用共享内存的方法，通过该方法，两个本地进程可以相互传递ShellCode，从而实现一种巧妙的本地传输手段。如果你问我为何在本地了还得这样传，那我只能说在某些时候我们可能会将ShellCode打散，而作为客户端也不需要时时刻刻在本地存放ShellCode代码，这能保证客户端的安全性。
GetSystemDirectory();//获取系统路径 GetWindowsDirectory();//获取windows路径 GetCurrentDirectory();//获取当前工作文件夹 SetCurrentDirectory();//改动当前工作文件夹 CreateFile/ReadFile/WriteFile/GetFileSize/SetFilePointer //返回文件大小的低32位 DWORD GetFileSize( HANDLE hFile,// handle to file LPDWORD lpFileSizeHigh //输出參数:返回文件大小的高32位 ); //创建文件并写入文本代码演示样例 HANDLE hf=CreateFile(“file.txt”,GENERIC_WRITE,FILE_SHARE_READ,NULL, OPEN_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL); char txt[]=”hello file to write”; DWORD len=0;//返回实际写入的长度 WriteFile(hf,txt,strlen(txt),&len,NULL); CloseHandle(hf); //读代替码演示样例 HANDLE hf=CreateFile(“file.txt”,GENERIC_READ,FILE_SHARE_READ, NULL,OPEN_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL); CHAR txt[1000]={0}; DWORD len=0;//实际读到的长度 ReadFile(hf,txt,sizeof(txt),&len,NULL); printf(“读取到的字符串：%s\n”,txt); CloseHandle(hf);
单个文件容量. 意思就是一个文件可以是多大的. NTFS 是可以4G以上的大文件. FAT32则不可以.
PE格式是Windows系统下最常用的可执行文件格式,有些应用必须建立在了解PE文件格式的基础之上,如可执行文件的加密与解密,文件型病毒的查杀等,熟练掌握PE文件结构,有助于软件的分析.
理解了如何通过调试事件输出当前进程中寄存器信息，那么实现加载DLL模块也会变得很容易实现，加载DLL模块主要使用LOAD_DLL_DEBUG_EVENT这个通知事件，该事件可检测进程加载的模块信息，一旦有新模块被加载或装入那么则会触发一个通知事件，利用该方法并配合磁盘路径获取函数则可很容易的实现进程模块加载的监控。
PE文件就是我们常说的EXE可执行文件，针对文件特征的识别可以清晰的知道该程序是使用何种编程语言实现的，前提是要有特征库，PE特征识别有多种形式，第一种是静态识别，此方法就是只针对磁盘中文件的特征码字段进行检测来判断编译器版本，此种方式优点是快，缺点是识别不准确，第二种则是动态识别，当程序被装入内存解码后在尝试对其进行识别，此方法最为准确，我们经常使用的PEID查壳工具是基于静态检测的方法。
网上有很多文件分割器，但效果很差（因为其源码使用的原理不好），很多大型文件（尤其是GB级别的）分割以后可能出现乱码，可能分割以后再次合并时就不是原来的文件了。所以我才自己做了一款文件分割器，分享给各位基友。 至于用处，某些情况下文件太大了确实带来很多麻烦——比如小明前段时间下载的“QQ信封5-10位.txt”，总大小达到了2个多G。小明想看看其中内容，却因为notepad不支持打开这么大的文件而作罢：“file is too big to be open”。用大文件分割器分割以后，就再也不存在这个问题：
此漏洞编号CVE-2010-2883，看着是一个很简单的栈溢出漏洞，但是也要看怎么玩了。这个漏洞是Adobe Acrobat Reader软件中CoolType.dll在解析字体文件SING表中的uniqueName字段的调用了strcat函数，但是对参数没有做出判断，没有检查uniqueName字段长度，导致了栈溢出漏洞。此漏洞影响版本如下： Adobe Acrobat 8.0 Adobe Acrobat 8.1 Adobe Acrobat 8.1.1 Adobe Acrobat 8.1.2 Adobe Acrobat 8.1.3 Adobe Acrobat 8.1.4 Adobe Acrobat 8.1.5 Adobe Acrobat 8.1.6 Adobe Acrobat 8.1.7 Adobe Acrobat 8.2 Adobe Acrobat 8.2.1 Adobe Acrobat 8.2.2 Adobe Acrobat 8.2.4 Adobe Acrobat 9.0 Adobe Acrobat 9.1 Adobe Acrobat 9.1.1 Adobe Acrobat 9.1.2 Adobe Acrobat 9.1.3 Adobe Acrobat 9.2 Adobe Acrobat 9.3 Adobe Acrobat 9.3.1 Adobe Acrobat 9.3.2 Adobe Acrobat 9.3.3 Adobe Acrobat Apple Mac_Os_X Microsoft Windows Adobe Acrobat_Reader 8.0 Adobe Acrobat_Reader 8.1 Adobe Acrobat_Reader 8.1.1 Adobe Acrobat_Reader 8.1.2 Adobe Acrobat_Reader 8.1.4 Adobe Acrobat_Reader 8.1.5 Adobe Acrobat_Reader 8.1.6 Adobe Acrobat_Reader 8.1.7 Adobe Acrobat_Reader 8.2.1 Adobe Acrobat_Reader 8.2.2 Adobe Acrobat_Reader 8.2.3 Adobe Acrobat_Reader 8.2.4 Adobe Acrobat_Reader 9.0 Adobe Acrobat_Reader 9.1 Adobe Acrobat_Reader 9.1.1 Adobe Acrobat_Reader 9.1.2 Adobe Acrobat_Reader 9.1.3 Adobe Acrobat_Reader 9.2 Adobe Acrobat_Reader 9.3 Adobe Acrobat_Reader 9.3.1 Adobe Acrobat_Reader 9.3.2 Adobe Acrobat_Reader 9.3.3 这次我用的是9.0版本。
在可执行文件PE文件结构中，通常我们需要用到地址转换相关知识，PE文件针对地址的规范有三种，其中就包括了VA，RVA，FOA三种，这三种该地址之间的灵活转换也是非常有用的，本节将介绍这些地址范围如何通过编程的方式实现转换。
PE格式是Windows系统下最常用的可执行文件格式,有些应用必须建立在了解PE文件格式的基础之上,如可执行文件的加密与解密,文件型病毒的查杀等,熟练掌握PE文件结构,有助于软件的分析，本文章文字描述提取自《琢石成器-Win32汇编语言程序设计》一书中的重点内容。
这次分析的是一个exe +dll文件，很明显，在exe执行的时候应该要动态链接该dll的，那就一个个分析，逐一攻破。
代码加密功能的实现原理，首先通过创建一个新的.hack区段，并对该区段进行初始化，接着我们向此区段内写入一段具有动态解密功能的ShellCode汇编指令集，并将程序入口地址修正为ShellCode地址位置处，当解密功能被运行后则可释放加密的.text节，此时再通过一个JMP指令跳转到原始OEP位置，则可继续执行解密后的区段。
本文主要说明在Windows下操作文件的高级方法，比如直接读写磁盘，文件的异步操作，而文件普通的读写方式在网上可以找到一大堆资料，在这也就不再进行专门的说明。
必须使用与flProtect参数指定的保护标志兼容的访问权限打开该文件。它不是必需的，但建议打开要映射的文件以进行独占访问。有关更多信息，请参阅文件安全性和访问权限。
本文已上传视频教学： https://www.bilibili.com/video/BV1Wy4y1X7Z5/?spm_id_from=333.999.0.0 ntdll.dll常常是被挂钩的主要模块
这么老的一个洞，在看雪搜文章的时候发现火绒发了篇文章，竟然现在还有利用这个洞的病毒
加壳的原理就是加密或者压缩程序中的已有资源，然后当程序执行后外壳将模拟PE加载器对EXE中的区块进行动态装入，下面我们来自己实现一个简单的区块加解密程序，来让大家学习了解一下壳的基本运作原理。
工作中，QA同学在测试我们程序的时候，发现在XP下，我们的A进程无法启动我们的B进程。而在Win7 64bit系统下功能正常。RD同学调试后，发现我们A进程中使用ShellExcute去启动了B进程（转载请指明出于breaksoftware的csdn博客）
C/C++程序为编译后的二进制文件，运行时载入内存，运行时内存分布由代码段、初始化数据段、未初始化数据段、堆和栈构成，如果程序使用了内存映射文件（比如共享库、共享文件），那么包含映射段。Linux环境程序典型的内存布局如图1-5所示。
脱壳修复是指在进行加壳保护后的二进制程序脱壳操作后，由于加壳操作的不同，有些程序的导入表可能会受到影响，导致脱壳后程序无法正常运行。因此，需要进行修复操作，将脱壳前的导入表覆盖到脱壳后的程序中，以使程序恢复正常运行。一般情况下，导入表被分为IAT（Import Address Table，导入地址表）和INT（Import Name Table，导入名称表）两个部分，其中IAT存储着导入函数的地址，而INT存储着导入函数的名称。在脱壳修复中，一般是通过将脱壳前和脱壳后的输入表进行对比，找出IAT和INT表中不一致的地方，然后将脱壳前的输入表覆盖到脱壳后的程序中，以完成修复操作。
2013年6月我写了关于非易失性内存（NVM）的未来接口。其中描述了SNIA NVM Programming technical work group（TWG）正在开发的NVM编程模型。在过去的四年里，规范已经发布，正如预测的那样，编程模型已成为大量后续工作的重点。该编程模型，在规范中描述为NVM.PM.FILE，可以将PM当做文件被操作系统映射到内存。本文，介绍持久内存编程模型如何在操作系统中实现，已经做了哪些工作，以及我们还面临着哪些挑战。
虚拟地址空间（Virtual Address Space）是每一个程序被加载运行起来后，操作系统为进程分配的虚拟内存，它为每个进程提供了一个假象，即每个进程都在独占地使用主存。
像往常一样，我的反调试相关帖子，一切都从微软没有记录的一点无害标志开始。或者至少我是这么认为的。
映射DLL其实很简单 在内核中使用4个函数即可映射. 而这方面网上资料也很多.这里推荐几个 也不再重复叙述了. 转载链接: 内核映射文件 简而言之只需要熟悉四个API即可. 而核心API其实就三个 分别为如下:
论坛里有关于HOOK API的贴子， 但其实现在方式显示得麻烦， 其实现在拦截API一般不用那种方式， 大都采用inline Hook API方式。其实也就是直接修改了要拦截的API源码的头部，让它无条件跳转到我们自己的处理过程。
文件操作API函数详解在VC中,大多数情况对文件的操作都使用系统提供的 API 函数，但有的函数我们不是很熟悉，以下提供一些文件操作 API 函数介绍：
CREATE_PROCESS_DEBUG_EVENT 创建进程的调试事件。CREATE_PROCESS_DEBUG_INFO结构体描述了该类调试事件的详细信息 OUTPUT_DEBUG_STRING_EVENT 该事件，当被调试进程调用OutputDebugString时就会引发该类调试事件，OUTPUT_DEBUG_STRING_INFO结构体描述了关于该事件的详细信息 LOAD_DLL_DEBUG_EVENT 当DLL被加载时，会调用该回调，LOAD_DLL_DEBUG_INFO结构体描述了它的详细信息，dll的路径被放在了，hfile字段，该字段默认是句柄方式存储的，需要手工转换，
本文来自项目https://github.com/hasherezade/process_ghosting
之前在学习PE文件格式的时候，是通过自己查看各个结构，自己一步步计算各个成员在结构中的偏移，然后在计算出其在文件中的偏移，从而找到各个结构的值，但是在使用C语言编写这个工具的时候，就比这个方便的多，只要将对应的指针类型转化为各个结构类型，就可以使用指针中的箭头来直接寻址到结构中的各个成员。 这次主要说明的是PE文件头的解析，也就是之前看到的第一个界面中显示的内容,这个部分涉及到CPeFileInfo这个解析类的部分代码，以及CPeFileInfoDlg这个对话框类的代码。
这里借用别人的一张图，大概是这样：因为刚开始是有一个ntdll被载入内存，然后杀软对其hook，自然也就是修改了代码段。然后这个时候，我们用新的ntdll的代码段覆盖被hook的代码段，实现ntdll重载。
漏洞点在SING表处，位于CoolType.dll文件处。 先将恶意pdf文件导入PDFStreamDumper，查看之后可以找到SING表的数据结构。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
