钩子回调根据SetWindowsHookEx参数1来设定的.比如如果我们设置WH_CBT 那么我们设置的回调函数就是CBT回调. 具体查询MSDN
c#客户端不能直接调用c++ dll，需要做2个黏合层把它们连接起来，这里以trtc sdk的dll为例
在公司实习也有一个月了，学到不少东西，不知不觉就要大四了，回首漫漫安全路，不禁感慨万千：我入安全的时间比较晚，大一大二跟着老师参加 Android 移动应用开发的比赛，大三开始学习安全，和大部分的人一样，始于 web 安全，当时是以视频为主，比如大家耳熟能详的黑麒麟(已经凉了)、小迪渗透等等，后来不知有一股神秘的力量莫名其妙的让我迷上了远控，之后又看了本《0day》，从此开始了底层二进制之旅，如果问我为什么一个搞 Android 开发的在后来会选择 PC 端的病毒分析，emmmm，大概这就是缘分吧……到现在我依然觉得病毒和外挂是计算机领域最吊的东西，C 语言是世界上最牛逼的语言。说了那么多就以对未来的期望作为结尾吧，但愿在未来依然可以感受到接受新知识时的心潮澎湃、受到挫折时的迷惘无助、柳暗花明后的“自怨自艾”，或许这就是所谓的初心吧！
JNI的全称是java native interface,用来调用某些特定于系统平台或者硬件的操作，但是它只能调用c/c++的代码，若是其它语言代码，只能通过c/c++进行二次调用。
Application->Assembly name，大牛直播SDK按照APP名称授权，未授权版本，此处请改成“SmartPlayer”，如需授权，可直接联系商务；
一、概述 众所周知，导航推广、淘宝客劫持可以给渠道商带来巨大的利益，使得木马病毒制造者纷纷变成推广渠道商。一些聪明的病毒制造者利用锁页生成器，以“造福”推广技术人员为由，让其助力进行木马传播。在这期间
【快讯】劫持浏览器、刷取流量等行为是流氓软件常见行为，而随着安全厂商持续打击、普通用户的安全意识提升，让病毒团伙、流氓软件厂商的获利空间被逐渐压缩。近期，“火绒威胁情报系统”监测到，病毒团伙为了获取更多的利润，开始与广告推广平台“合作”暗刷流量，以此欺骗用户和广告主、对抗安全厂商。这种病毒和广告联盟协同暗刷坑害广告主的行为、这种近乎癫狂的传播模式，似乎在宣告“流量生意”的彻底黑化。
在内核中，可以使用ObRegisterCallbacks这个内核回调函数来实现监控进程和线程对象操作。通过注册一个OB_CALLBACK_REGISTRATION回调结构体，可以指定所需的回调函数和回调的监控类型。这个回调结构体包含了回调函数和监控的对象类型，还有一个Altitude字段，用于指定回调函数的优先级。优先级越高的回调函数会先被调用，如果某个回调函数返回了一个非NULL值，后续的回调函数就不会被调用。
需求: 当前C++已经写好了一个动态库，完成了产品开发需求，C#需要调用C++编写的动态库DLL接口，开发出完整的软件，DLL动态库里包含了普通接口函数，回调函数。
高级持续性威胁（APT，Advanced Persistent Threat）对蓝队来说是一项重大挑战，因为攻击者会长时间应用各种攻击，阻碍事件关联和检测。 在这项工作中利用各种不同的攻击场景来评估终端检测与响应系统（EDR，Endpoint Detection and Response）和其他安全解决方案在检测和预防 APT 方面的功效。 结果表明，由于最先进的终端安全系统无法预防和记录这项工作中报告的大部分攻击，因此仍有很大的改进空间。 此外，还讨论了篡改 EDR 遥测提供者的方法，从而允许攻击者进行更隐蔽的攻击。
在笔者上一篇文章《驱动开发：内核监视LoadImage映像回调》中LyShark简单介绍了如何通过PsSetLoadImageNotifyRoutine函数注册回调来监视驱动模块的加载，注意我这里用的是监视而不是监控之所以是监视而不是监控那是因为PsSetLoadImageNotifyRoutine无法实现参数控制，而如果我们想要控制特定驱动的加载则需要自己做一些事情来实现，如下LyShark将解密如何实现屏蔽特定驱动的加载。
监控进程对象和线程对象操作，可以使用ObRegisterCallbacks这个内核回调函数，通过回调我们可以实现保护calc.exe进程不被关闭，具体操作从OperationInformation->Object获得进程或线程的对象，然后再回调中判断是否是计算器，如果是就直接去掉TERMINATE_PROCESS或TERMINATE_THREAD权限即可。
在windows下做应用开发时，经常需要多种不同的语言混合编程。比如：利用Qt开发一个动态库，给C#调用。
最后的结论很简单，是我绑定v8 function的时候没释放。但查找问题的过程比较艰难，因为
项目地址：https://github.com/0xlane/com-process-inject
在笔者上一篇文章《内核注册并监控对象回调》介绍了如何运用ObRegisterCallbacks注册进程与线程回调，并通过该回调实现了拦截指定进行运行的效果，本章LyShark将带大家继续探索一个新的回调注册函数，PsSetLoadImageNotifyRoutine常用于注册LoadImage映像监视，当有模块被系统加载时则可以第一时间获取到加载模块信息，需要注意的是该回调函数内无法进行拦截，如需要拦截则需写入返回指令这部分内容将在下一章进行讲解，本章将主要实现对模块的监视功能。
DMULT.DLL 多线程DLL ThreadServer.dll VFP连编COM（要注册） procservsr.prg 接口类 test.scx 示例
Faxhell，又名“Fax Shell”，它是一个利用利用Fax服务和DLL劫持技术实现的Bind Shell，Faxhell本身就是一个针对Bind Shell的概念验证PoC，其中的DLL劫持基于Ualapi.dll实现。
在笔者之前的文章《内核特征码搜索函数封装》中我们封装实现了特征码定位功能，本章将继续使用该功能，本次我们需要枚举内核LoadImage映像回调，在Win64环境下我们可以设置一个LoadImage映像加载通告回调，当有新驱动或者DLL被加载时，回调函数就会被调用从而执行我们自己的回调例程，映像回调也存储在数组里，枚举时从数组中读取值之后，需要进行位运算解密得到地址。
我们希望把 DLL 和这个程序放到一起，那么 DLL 路径就是程序所在路径加上 DLL 的名称。
这里需要注意一些，不建议用string接受const char*，为什么呢，由于如果直接用string，那么C#会自动将字符串以CharSet 的字符编码转换到您当前应用程序的编码。这个是不受您控制的，而且一旦转换了，就无法获得原来的data数据。
在笔者上一篇文章《驱动开发：内核注册并监控对象回调》介绍了如何运用ObRegisterCallbacks注册进程与线程回调，并通过该回调实现了拦截指定进行运行的效果，本章LyShark将带大家继续探索一个新的回调注册函数，PsSetLoadImageNotifyRoutine常用于注册LoadImage映像监视，当有模块被系统加载时则可以第一时间获取到加载模块信息，需要注意的是该回调函数内无法进行拦截，如需要拦截则需写入返回指令这部分内容将在下一章进行讲解，本章将主要实现对模块的监视功能。
最近学习了生成静态链接的dll及其调用，写一下笔录和大家分享，有错误的地方欢迎大家指出来
当一个公司被高级恶意软件感染，一个正确的应急响应应该是去识别恶意软件和修复系统，建立更好的安全控制体系来防止未来此类 事故的发生。在这篇文章中会介绍使用“内存取证”技术来检测高级的恶意软件感染，并且学会如何使用内存取证工具比如Volatility在真实的环境中检测恶意软件。 内存技术是指从运行的电脑中取出内存镜像来进行分析的技术，其在应急响应和调查中扮演一个很重要的角色。它能够从计算机内存中提取取证线索，比如运行的进程，网络连接，加载的模块等等 ，同时他能够帮助脱壳，Rootkit检测和逆向工程。 内存
事件日志搭配Windows事件转发和Sysmon，将会成为一个非常强大的安全防御方案，可以帮助研究人员检测攻击者在目标设备上的每一步非法操作。很明显，这是攻击者需要解决的问题。如果不能实现提权的话，攻击者能绕过事件日志的方式还是有限的，一旦实现提权，那结果可就不同了。
最近这阵子，接了个私活，封装一个开发包俗称的SDK给客户调用，查阅了很多人家的SDK，绝大部分用VC编写，而且VC6.0居多，估计也是为了兼容大量的XP用户及IE浏览器，XP自带了VC6.0运行库，所以无需兼带其他DLL即可运行。也发现有些用汇编和C封装的，那估计是高手才能编写啊！那怎么办呢？眼看一星期的交货期要到了，由于本人从来没有写过SDK开发包，心里那个着急啊，赶紧想出了三种处理方案。
UsoDllLoader是一款功能强大的武器化特权文件写入工具，该工具可以通过Update Session Orchestrator服务来利用Windows系统中的特权文件写入漏洞并完成对目标系统的渗透测试。除此之外，UsoDllLoader还提供了一个针对DiagHub DLL加载漏洞的利用代码，不过微软已经在v1903版本的Windows系统上修复了这个漏洞。
Ninja是一个开源的命令控制C2服务器，由Purple团队设计、开发和维护。在Ninjia的帮助下，红队研究人员可以隐藏他们的计算机和活动目录枚举活动，并且不会被SIEM和反病毒产品检测到。目前，Ninjia仍处于测试阶段，稳定版本发布后，将会包含更多隐蔽技术和反取证技术，这对于蓝队来说将会是一个真正的挑战，以帮助他们确保防御系统的安全性，以检测到更加复杂的攻击。
OAuth： OAuth（开放授权）是一个开放标准，允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方网站或分享他们数据的所有内容。 QQ登录OAuth2.0：对于用户相关的OpenAPI（例如获取用户信息，动态同步，照片，日志，分享等），为了保护用户数据的安全和隐私，第三方网站访问用户数据前都需要显式的向用户征求授权。 QQ登录OAuth2.0采用OAuth2.0标准协议来进行用户身份验证和获取用户授权，相对于之前的OAuth1.0协议，其认证流程更简单和安
NanoDump是一款功能强大的MiniDump转储文件提取工具，在该工具的帮助下，广大研究人员可以轻松转储LSASS进程中的MiniDump数据。
设置好唤醒词后, 下载windowsSdk, 项目需要/bin目录下的msc_x64.dll 和 msc.dll (分别是64位和32位的dll, 按需使用), 以及/bin/msc/res/ivw目录下的wakeupresource.jet(语音唤醒资源文件)
ThreadStackSpoofer是一种先进的内存规避技术，它可以帮助广大研究人员或红/蓝队人员更好地隐藏已注入的Shellcode的内存分配行为，以避免被扫描程序或分析工具所检测到。
在大学大一的时候学的是C，然后后来大二的时候专业又开了C++这个课程，然后再后来自己又自学了一点VC++，大三的时候也试着编写过一个MFC的最简单的窗口程序。到大四的时候，自己又做了一个GIS的项目，是用C#.NET来编写的，然后发现C#上手好容易，而且还大部分语法规则都沿用了C，C++的习惯，于是觉得C++实在是没有一点优势可言啊。但这个暑假的实习经历又改变了我的观点：C++在写窗口程序虽然麻烦，但是却什么能做，而且对比C#来说，对运行环境的要求不高，不用像C#程序在安装之前还要安装100M多的运行.NET环境。C++和C#各有优缺，目前我对它们俩的定位是：C++用来写一些底层的程序，比如驱动，或者是一些算法类型的函数接口，然后用C#来调用这些接口并进行界面设计。如何函数的实现跨语言呢？显然DLL是个很重要的内容，故在此对VC++的DLL模块进行介绍。
Nidhogg是一款专为红队设计的多功能Rootkit，该工具的主要目的是为红队研究人员提供一个多合一的切易于使用的多功能Rootkit，并允许研究人员通过单个头文件来将其引入到自己的C2框架之中。
上一篇《C++创建动态库C#调用》我们练习了C++写的动态库用C#的调用方法，后来研究回调函数这块，就想练习一下回调函数的使用，学习并巩固一下，话不多说，我们直接开始。
本篇文章是之前我在学习Android Hook技术时的学习总结。闲来无事，回头看到笔记时已发现蜘蛛网已经封存了我的秘籍，辛亏打开一看，My Study总结还完好。
Win64bit提权0day漏洞（CVE-2014-4113）漏洞 攻击者经常利用已知的权限提升漏洞获得管理员级别的访问，而黑客直接利用0day漏洞进行攻击是非常罕见的。近日CrowdStrike团队（CrowdStrike Falcon Host Endpoint Threat Detection & Response）监测到了Win64bit2008 R2计算机上存在可疑的活动。CrowdStrike认为：这些计算机极有可能受到飓风熊猫（HURRICANE PANDA）的控制。详情点我 技术分析 Win
因为是C#,所以平台肯定是.NET了。 之前因为一个小小的业务需要接触了下密码键盘的操作。其实就是简单的获取用户输入密码的操作，没碰到什么大的问题，但是查资料的过程中还是感觉查到的东西挺多的，是那种越查越多，但是又不是很关键的东西。 在调用DLL中的方法的时候，我们一般要对照函数说明来把C/C++中的类型转换为.NET中相对应的类型，而且方法必须声明为静态外部函数,即加上public extern static声明头.如果不加public ,函数默认为私有函数，调用就会出错。 [DllImport("CO
长久以来，输入法一直是困扰mac用户的一个问题；不过随着国内厂商的跟进，这种状况得到了极大的改善。不用自己去折腾什么鼠须管了，狼厂和企鹅都做的不错。
近日，火绒收到多位用户反馈，电脑频繁报毒、网页被劫持等问题，经排查发现是传奇私服捆绑Rootkit病毒导致。该病毒通过篡改用户流量来推广自己的传奇私服，不仅使用多种对抗手段，还伪装成系统驱动等来隐藏自身，对用户构成较大的威胁。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
