在前面的章节中相信读者已经学会了使用Metasploit工具生成自己的ShellCode代码片段了，本章将继续深入探索关于ShellCode的相关知识体系，ShellCode 通常是指一个原始的可执行代码的有效载荷，攻击者通常会使用这段代码来获得被攻陷系统上的交互Shell的访问权限，而现在用于描述一段自包含的独立的可执行代码片段。ShellCode代码的编写有多种方式，通常会优先使用汇编语言实现，这得益于汇编语言的可控性。
MS08-067漏洞调试分析详解 一、前言 在《Metasploit渗透测试魔鬼训练营》中有对MS08-067漏洞原理的分析，不过作者的文笔十分晦涩难懂，读起来十分难消化，我反复阅读钻研了几遍，配合实践分析，对该部分的内容大致理解了一些，按照清晰的思路记录了这篇文章，并画了漏洞产生的流程图，增强了对漏洞组件溢出方式、shell插入方式的理解。 二、 简介 MS08-067漏洞是一个经典的、影响广泛的远程代码执行漏洞，在MSRPC over SMB通道调用Server服务程序中的NetPathCanonica
在之前的文章中，我们实现了一个正向的匿名管道ShellCode后门，为了保证文章的简洁易懂并没有增加针对调用函数的动态定位功能，此类方法在更换系统后则由于地址变化导致我们的后门无法正常使用，接下来将实现通过PEB获取GetProcAddrees函数地址，并根据该函数实现所需其他函数的地址自定位功能，通过枚举内存导出表的方式自动实现定位所需函数的动态地址，从而实现后门的通用性。
在笔者上一篇文章中简单的介绍了如何运用汇编语言编写一段弹窗代码，虽然简易ShellCode可以被正常执行，但却存在很多问题，由于采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统或系统重启过，那么基址将会发生变化，此时如果再次调用基址参数则会调用失败，本章将解决这个棘手的问题，通过ShellCode动态定位的方式解决这个缺陷，并以此设计出真正符合规范的ShellCode代码片段。
本文转载自小甲鱼PE文件讲解系列原文传送门 这次主要说明导出表，导出表一般记录着文件中函数的地址等相关信息，供其他程序调用，常见的.exe文件中一般不存在导出表，导出表更多的是存在于dll文件中。一般在dll中保存函数名称以及它的地址，当某个程序需要调用dll中的函数时，如果这个dll在内存中，则直接找到对应函数在内存中的位置，并映射到对应的虚拟地址空间中，如果在内存中没有对应的dll，则会先通过PE加载器加载到内存，然后再进行映射
ShellCode 通常是指一个原始的可执行代码的有效载荷，ShellCode 这个名字来源于攻击者通常会使用这段代码来获得被攻陷系统上的交互 Shell 的访问权限，而现在通常用于描述一段自包含的独立的可执行代码片段。
简易 ShellCode 虽然可以正常被执行，但是还存在很多的问题，因为上次所编写的 ShellCode 采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统一就会存在调用函数失败甚至是软件卡死的现象，下面我们通过编写一些定位程序，让 ShellCode 能够动态定位我们所需要的API函数地址，从而解决上节课中 ShellCode 的通用性问题。
Cobalt Strike 的Payload基于 Meterpreter shellcode，例如 API 哈希（x86和x64版本）或http/https Payload中使用的url checksum8 算法等等。
1.首先需要找到加壳后程序的导入表以及导入了那些函数，使用PETools工具解析导入表结构，如下。
IAT（Import Address Table）Hook是一种针对Windows操作系统的API Hooking 技术，用于修改应用程序对动态链接库（DLL）中导入函数的调用。IAT是一个数据结构，其中包含了应用程序在运行时使用的导入函数的地址。
1系统简介 1.1功能简述 在软件开发过程中,我们需要经常对字符串、文件、数据库操作。有时需要浏览Json格式串，有时需要浏览Xml格式串，有时需要读取txt或excel文件，有时需要对数据库访问。本
NBear简介与使用图解 框架类型：ORM映射框架 简介：NBear是一个基于.Net 2.0、C#2.0开放全部源代码的的软件开发框架类库。NBear的设计目标是尽最大努力减少开发人员的工作量，最大
Ring 3层的 IAT HOOK 和 EAT HOOK 其原理是通过替换IAT表中函数的原始地址从而实现Hook的，与普通的 InlineHook 不太一样 IAT Hook 需要充分理解PE文件的结构才能完成 Hook，接下来将具体分析 IAT Hook 的实现原理，并编写一个DLL注入文件，实现 IAT Hook ，废话不多说先来给大家补补课。
Ring 3层的 IAT HOOK 和 EAT HOOK 其原理是通过替换IAT表中函数的原始地址从而实现Hook的，与普通的 InlineHook 不太一样 IAT Hook 需要充分理解PE文件的结构才能完成 Hook，接下来将具体分析 IAT Hook 的实现原理，并编写一个DLL注入文件，实现 IAT Hook 。
在这篇文章中，我将跟大家讨论一个我在Panda反病毒产品中发现的一个安全漏洞（CVE-2019-12042），这是一个本地提权漏洞，该漏洞将允许攻击者在目标设备上将非特权账户提权至SYSTEM。
1、beSTORM简介 beSTORM是一款安全评估工具，在开发周期中，供应商可以使用beSTORM全面分析网络软件应用，发现全新和未知的漏洞。 beSTORM通过自动测试数十亿种攻击组合方式，确保产品部署前的安全，为企业节省产品上市后修复安全漏洞产生的成本。 以往的安全评估工具使用攻击签名或失败的攻击定位已知的产品漏洞，beSTORM与这些旧式的安全评估工具不同。 无论在认证测试还是开发生命周期中，供应商均可以使用 beSTORM 来测试产品。该软件能够定制现有模块，并且添加新模块，以直观和易于使用的环境
通过IDA Pro加载netapi32.dll动态链接库，来进行分析CVE-2006-3439漏洞产生的原理。
这次分析的是一个exe +dll文件，很明显，在exe执行的时候应该要动态链接该dll的，那就一个个分析，逐一攻破。
栈溢出是缓冲区溢出中最为常见的一种攻击手法，其原理是，程序在运行时栈地址是由操作系统来负责维护的，在我们调用函数时，程序会将当前函数的下一条指令的地址压入栈中，而函数执行完毕后，则会通过ret指令从栈地址中弹出压入的返回地址，并将返回地址重新装载到EIP指令指针寄存器中，从而继续运行，然而将这种控制程序执行流程的地址保存到栈中，必然会给栈溢出攻击带来可行性。
在一个服务器的集群上面，服务器的CPU长时间居高不下，响应的时间也一直很慢，即使扩容了服务器CPU的下降效果也不是很明显。
这篇文章转载自小甲鱼的PE文件详解系列原文传送门 之前简单提了一下节表和数据目录表，那么他们有什么区别？ 其实这些东西都是人为规定的，一个数据在文件中或者在内存中的位置基本是固定的，通过数据目录表进行索引和通过节表进行索引都是可以找到的，也可以这么说，同一个数据在节表和数据目录表中都有一份索引值，那么这两个表有什么区别？一般将具有相同属性的值放到同一个节区中，这也就是说同一个节区的值只是保护属性相同，但是他们的用途不一定是一样的，但是在同一数据目录表中的数据的作用是相同的，比如输入函数表中只会保存输入函数的相关信息，输出函数表中只会保存输出函数的信息，而输入输出函数在PE文件中可能都位于.text这个节中。
C++代码通常被称为非托管代码，而我们在Unity中使用的C#代码会被编译成通用中间语言CIL，CIL/.Net代码通常被称为托管代码。那我们如何在Unity中调用由C++封装的dll动态库中接口时将托管内存封装到非托管内存？
本节课我们不去破解程序，本节课学习给应用程序插入一些代码片段，这里我就插入一个弹窗喽，当然你也可以插入一段恶意代码，让使用的人中招， 这里有很多原理性的东西我就不多罗嗦了毕竟是新手入门教程，如果想去了解工具的原理的话可以去系统学习PE文件结构的一些内容，好了废话不多说直接开搞。
数据库连接字符串的处理应该是一个项目里最基础的东东了。（除非你的项目不涉及到数据库。） 千万不要小看他，处理不好也时会给你带来不少的麻烦的。 连接字符串的内容在这里就不讨论了，这里主要说一下他的存放位置和读取方法。 我们要达到的目的：无论连接字符串如何变化，都不需要修改项目！ 1.把连接字符串写在程序里面。 一般的初级教程里会告诉你这么写 VB.net Dim cn As New SqlClient.SqlConnection("user id=sa;password=sa;serv
从2013年开始举办的Flare-On逆向挑战赛今年已经是第6届。今年的比赛共有12道题目，涉及Windows，.NET，Linux和Android上x86的各种架构。此外，这也是Flare-On历史上的第一次比赛中出现NES ROM的题目。该比赛是仅有的以Windows为中心的CTF竞赛之一。完成Flare-On逆向挑战也是笔者一直以来的目标之一，今年终于有时间去实现这个目标了。
前面说到的指针Pointer，其实主要是说了取地址函数。得到了变量的地址，只能赋值给Long类型，并没有指针的作用，无法根据这个记录了变量地址的东西来操作变量。
程序会读取目录下的 password.txt 然后复制到 buffer 中，然而 buffer 只有 8 字节，password 是 1024 字节的
延续了2018年加密货币挖矿恶意软件的趋势，我发现了另一种类似于5月初发现的“MassMine”的挖矿恶意软件。我把这个家族称为ZombieBoy，因为它使用了一个名为ZombieBoyTools的工具来释放第一个dll。
把pro_ext.h 和winapims.lib两个文件拷到main.cpp所在位置的lib下（方便把自己的代码跟库区分）
笔者于书写此文之前从未接触过InPage，该文权当笔者于学习过程中的文章学习笔记，其中如有不当或错误之处，望读者不吝赐教，笔者感激不尽。
近期，火绒安全实验室在日常威胁巡视中发现一 GitHub 仓库发布的项目存在病毒风险行为，火绒安全工程师第一时间提取样本进行分析。分析中发现样本会通过多种手段对抗杀软，并最终释放 Remcos 商业远控木马控制受害者机器，且病毒作者仍在积极开发当中。目前，火绒安全产品可对上述病毒进行拦截查杀，请广大用户及时更新病毒库以提高防御能力。
2017年3月7日，维基解密首次在其网站对外曝光了美国中央情报局（CIA）相关资料，并且代号为Vault7[参考链接: 5]，并且从当月直至9月7日每周都会对外披露其中一个项目的相关资料内容[4]。在这批泄露资料中，主要涉及其相关网络武器库和行动项目的代号和对应文档介绍，鲜有具体的涉及implant（植入物）的技术实现和利用细节。
目录 1. 介绍 2. curl扩展的安装 3. curl_init 4. curl_setopt 5. curl_exec 6. curl_close 7. curl_version * 介绍 PHP 支持libcurl(允许你用不同的协议连接和沟通不同的服务器)。, libcurl当前支持http, https, ftp, gopher, telnet, dict, file, 和ldap 协议。libcurl同样支持HTTPS证书
1.1 文件路径的确错误。比如：本来欲加载的是A文件夹下的动态库a.dll，但是经过仔细排查原因，发现a.dll动态库竟然被拷贝到B文件夹下去了。
我们最近发现了一个APT我们正在调用的活动Operation Dragon Castling。该活动的目标是似乎在投注的公司South East Asia，更具体地说是位于Taiwan、Philippines和的公司Hong Kong。有了适度的信心，我们可以将活动归因于一个Chinese speaking APT group，但不幸的是不能将攻击归因于特定的群体，并且不确定攻击者的目标是什么。
具备检测相关经验的同学可能都对yara匹配引擎比较熟悉了，看雪论坛上也有非常详细的翻译文章 - 编写Yara规则检测恶意软件 本文主要对yara文档容易被忽略的部分进行了翻译和总结，并且给出一些进阶用法的例子，提高对yara匹配引擎语法的理解程度。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
