一般来说，最直接的做法就是调用Win32 API函数，来动态的加载、获取函数地址、释放：
NanoDump是一款功能强大的MiniDump转储文件提取工具，在该工具的帮助下，广大研究人员可以轻松转储LSASS进程中的MiniDump数据。
为什么我们需要白加黑这种攻击方法呢？答：降本增效，我们知道在以后AI+安全崛起的大背景下，社工将会成为攻防演练项目中，成本最低，效率最高的一种攻击方式，而这个时候"白加黑"的成本优势就体现的淋漓尽致了。
现在很多PHP程序都需要ZendOptimizer环境，但是ZendOptimizer在PHP5.2之后已经被支持，那怎么办，Zend也不会这么做，原来PHP5.3开始ZendOptimizer正式改为Zend Guard Loader。 Zend Guard Loader的发布，而且Zend Optimizer不会再更新，并且由于差异很大使用Zend Guard加密代码时将提示你是否使用php5.3，如果使用5.3那么代码就无法在php5.2上运行。 Zend Guard Loader安装说明 1.下载Zend Guard Loader包。(官方地址:http://www.zend.com/en/products/guard/downloads) Linux: x86:http://downloads.zend.com/guard/5.5.0/ZendGuardLoader-php-5.3-linux-glibc23-i386.tar.gz x64:http://downloads.zend.com/guard/5.5.0/ZendGuardLoader-php-5.3-linux-glibc23-x86_64.tar.gz Windows: http://downloads.zend.com/guard/5.5.0/ZendGuardLoader-php-5.3-Windows.zip 2. 并提取ZendGuardLoader.so（Linux）或ZendLoader.dll（Windows）上传到服务器。 3. 加载ZendGuardLoader,配置PHP.INI 例子: zend_extension=C:\web\PHP\ext\ZendLoader.dll zend_loader.enable=1 zend_loader.disable_licensing=0 zend_loader.obfuscation_level_support=3 zend_loader.license_path= 下面逐一说明： 注意windows版的只支持NTS(非线程安全)版的PHP5.3,即phpinfo中Thread Safety为disabled的！ 在你的php.ini文件中添加以下行： Linux和Mac OS X：zend_extension=<ZendGuardLoader.so的绝对路径> Windows的非线程安全的：zend_extension=<ZendLoader.dll的绝对路径> 4. 添加下面这行加载ZendGuardLoader: ;启用加载编码脚本。默认开启 zend_loader.enable=1 5. 可选：配置ZendGuardLoader ;禁用检查授权（出于性能原因） zend_loader.disable_licensing=0 ;配置混淆水平 0 – 不支持混淆 zend_loader.obfuscation_level_support=3 ;配置寻找授权文件的路径 zend_loader.license_path= 6. 如果你同时使用Zend debugger,请保证加载Zend guard Loader后再加载Zend debugger 7. 如果你同时使用Ioncube loader,请保证加载Ioncube loader后再加载Zend guard Loader 8. 重启Web服务。 如果在phpinfo中看到如下内容（不同的版本可能会有所不同）： This program makes use of the Zend Scripting Language Engine:Zend Engine v2.4.0, Copyright (c) 1998-2011 Zend Technologies 说明安装已经成功！
现在很多PHP程序都需要ZendOptimizer环境，但是ZendOptimizer在PHP5.2之后已经被支持，那怎么办，Zend也不会这么做，原来PHP5.3开始ZendOptimizer正式改为Zend Guard Loader。 Zend Guard Loader的发布，而且Zend Optimizer不会再更新，并且由于差异很大使用Zend Guard加密代码时将提示你是否使用php5.3，如果使用5.3那么代码就无法在php5.2上运行。 Zend Guard Loader安装说明
最近在用DeepLearning4J(DL4J)尝试语音识别的深度学习,git DL4J的代码,用IntelliJ IDEA打开,配置好相关依赖后,运行包org.deeplearning4j.examples.test.Test的main,可以正常运行,但是有警告提示如下:
大多数教程都是用的这个脚本直接实现的https://github.com/Ridter/redis-rce。不知道大家在使用脚本的时候有没有注意到一些限制。
介绍 今天给大家推荐的这个代码库将允许原生Linux程序从一个WindowsDLL文件中加载或调用功能函数。下面是一个简单的演示示例，我将Windows Defender“移植”到了Linux平台。 $ ./mpclient eicar.com main(): Scanning eicar.com... EngineScanCallback(): Scanning input EngineScanCallback(): Threat Virus:DOS/EICAR_Test_Fileidentified
最近2周比较忙，没有抽出时间来写Blog，不过在这段时间里面把整个思路理了一遍，梳理了一下大纲，以后会多抽时间来写Blog。
通俗说，PHP 扩展是增强 PHP 语言功能的插件。PHP 提供了编程语言的语法，比如分支、循环、函数、类等，这些是 PHP 本身所提供的。在某些情况下需要在 PHP 语言的基础上进行扩展，那么就需要通过 PHP 底层提供的数据结构和接口来开发 PHP 扩展，从而来补充或扩展 PHP 语言，使之更加的强大。当然了，PHP 本身就已经集成了一些基本的、强大的、优秀的 PHP 扩展。
好了，luasocket的编译和部署就讲完了，做完上面这些步骤，就可以用luasocket来编写网络程序了。
一直对动态库的封装理解不是很透彻，虽然之前写过一个Demo，不过并没有真正的理解。所以写下来，帮助自己理解下。
邮件钓鱼通常出现在APT攻击里面，但是在日常生活中我们的邮箱也会经常出现一些钓鱼邮件，为了更好的了解原理，我在本地探索了一下宏上线钓鱼邮件，分享出来供师傅们交流。
php本身是一个php代码的脚本执行程序，运行方式是指其运行的方法。整理归纳为一下五种方法：
从事软件工作也有两年了,C++静态库和动态库也用了不少,但都是依葫芦画瓢,一直没具体去研究一下二者的区别,加载方式等,今天花时间看了几篇博客,重新学习了一下,做出如下笔记。
LightsOut是一款功能强大的DLL生成工具，该工具可以帮助广大研究人员轻松生成经过混淆处理的DLL。该工具专为红队研究人员设计，生成的DLL可以在研究人员尝试绕过反病毒产品时禁用AMSI和ETW，从而更好地测试目标系统的安全性。
从2013年开始举办的Flare-On逆向挑战赛今年已经是第6届。今年的比赛共有12道题目，涉及Windows，.NET，Linux和Android上x86的各种架构。此外，这也是Flare-On历史上的第一次比赛中出现NES ROM的题目。该比赛是仅有的以Windows为中心的CTF竞赛之一。完成Flare-On逆向挑战也是笔者一直以来的目标之一，今年终于有时间去实现这个目标了。
昨天看到@白河·愁 发了《Linux下内存取证工具Volatility的使用》，今天恰好看到一篇Volatility利用的文章，文章不长，就翻译了过来。 原文地址：http://carnal0wnage.attackresearch.com/2014/02/finding-malicious-dlls-with-volatility.html 译文： Colin和我最近正致力于研究一个内存镜像，需要找到由svchost.exe加载的所有DLL，选择使用大家熟知的内存分析工具 — Volatility。Vol
lsarelayx 是系统范围的 NTLM 中继工具，旨在将传入的基于 NTLM 的身份验证中继到运行它的主机。lsarelayx 将中继任何传入的身份验证请求，其中包括 SMB。由于 lsarelayx 挂钩到现有的应用程序身份验证流，该工具还将在中继完成后尝试为原始身份验证请求提供服务。这将防止目标应用程序/协议显示错误，并为最终用户针对 lsarelayx 主机进行身份验证正常工作。
举例： 例如，假设有一个应用程序叫做"example.exe"，它依赖于名为"example.dll"的动态链接库。而"example.exe"在加载"example.dll"时没有使用绝对路径，而是仅仅指定了DLL的名称。攻击者可以将恶意的"example.dll"文件放置在与"example.exe"相同的目录下，当"example.exe"启动时，系统会先在当前目录中查找"example.dll"文件，如果找到，就会加载该文件并执行其中的恶意代码。 DLL劫持可以函数转发劫持也可以往完整DLL插入恶意代码，这里用的函数转发劫持，大致流程如下图所示： https://kiwings.github.io/2019/04/04/th-DLL%E5%8A%AB%E6%8C%81/ 2.2 劫持dbghelp.dll redis-server.exe在执行bgsave时，会先在应用目录查找dbghelp.dll，找不到再去system32目录下找： 而不管redis的权限是Administrator还是普通用户或者Network Service，它对自己的应用目录一定有写文件的权限，我们可以通过Redis的主从复制在应用目录里写入恶意DLL。 2.3 函数转发劫持 对DLL进行函数转发劫持需要导出原本DLL的函数和地址，以保证程序通过恶意DLL调用这些函数时不影响正常功能，DLL的导出函数一般比较多，用Aheadlib之类的工具可以自动化处理。 我这里用的是DLLHijacker，它会自动处理导出表并生成一个VS2019的项目，但这个python脚本有几个bug： https://github.com/kiwings/DLLHijacker (1) VS项目中文乱码： 修复：几个写文件的地方添加 encoding="utf-8"。 (2) 函数导出表有匿名函数的时候，会导致以下报错 [-]Error occur: 'NoneType' object has no attribute 'decode 修复：在几个for循环里添加函数名是否为空的判断可以解决这个问题。 (3) 生成C/C++代码时，没有使用目标DLL的绝对路径，只是用了DLL的名字填充LoadLibrary()，这是一个很严重的bug，会导致函数转发失败、Redis的功能受到影响从而只能劫持一次： 修复：我改成了根据输入的目标DLL路径自动填充。 如果没有使用原DLL的绝对路径，在Process Monitor可以看到，只会调用应用程序目录里的恶意DLL，并没有调用原本的system32下的dbghelp.dll： 从而redis的功能受到影响，导致redis的bgsave只能触发一次DLL调用，第二次bgsave的进程会被阻塞从而无法调用DLL，并且Redis关闭后将无法启动： 这也是网上部分师傅的文章写”不会影响redis运行 但会无法重启“的原因，因为他们也是用的DLLHijacker，并且没有发现有这个坑，这不仅会影响业务，而且只能劫持一次： 正常的DLL劫持不会影响程序的功能，可以劫持很多次，假如我第一次劫持想上线CS但是没有成功，那对面可能不出网，那我可能会再劫持打一个MSF的反向shell，都没成功我也可以继续尝试MSF盲打命令： 正常的DLL转发劫持如下，调用完应用程序目录里的恶意DLL后会调用原DLL： 0x03 漏洞利用 3.1 工具使用 工具下载地址： https://github.com/P4r4d1se/dll_hijack 如是是Windows 64位的Redis DLL劫持的话，可以直接用里面的VS2022版的dbghelp项目。 其他要用我修改后的DllHijacker.py和目标DLL路径生成VS项目： python3 DLLHijacker.py C:\Windows\System32\dbghelp.dll 下载安装VS2022，只用勾C++桌面开发： https://visualstudio.microsoft.com/zh-hans/downloads 打开生成目录里的sln文件，因为原本是VS2019的项目所以会提醒你升级，选确定，不然得另外安装v142的编译组件才能编译VS2019的项目： 打开后在源文件的dllmain.app，修改里面的shellocde就行，其他不用改： 3.2 出网——Cobalt Strike 如果Redis主机直接出网，或者能通其他已经上线CS的出网主机，那直接上CS是最好的选择，CS生成C语言的payload： 源文件的dllmain.app里把payload替换进去，然后选Release x64，生成——生成解决方案： 然后主从复制将dbghelp.dll写过去并bg
在说明Linux的.a、.so和.o文件关系之前，先来看看windows下obj,lib,dll,exe的关系。
1.生成lib文件 首先，我们先建立一个控制台工程(新建->工程->控制台程序)，添加add.cpp以及add.h文件。 //sub.h #ifndef _SUB_H #define _SUB_H void sub(int a,int b); #endif //sub.cpp #include "sub.h" #include <iostream> void sub(int a,int b) { std::cout<<(a-b)<<std::endl; } 由于在工程中，没有main(
当一个公司被高级恶意软件感染，一个正确的应急响应应该是去识别恶意软件和修复系统，建立更好的安全控制体系来防止未来此类 事故的发生。在这篇文章中会介绍使用“内存取证”技术来检测高级的恶意软件感染，并且学会如何使用内存取证工具比如Volatility在真实的环境中检测恶意软件。 内存技术是指从运行的电脑中取出内存镜像来进行分析的技术，其在应急响应和调查中扮演一个很重要的角色。它能够从计算机内存中提取取证线索，比如运行的进程，网络连接，加载的模块等等 ，同时他能够帮助脱壳，Rootkit检测和逆向工程。 内存
本文主要介绍权限维持，介绍如何在有一定权限的情况下，留下后门。当然各类后门太多太多了，这里主要列举一些常用的、方便的。
动态链接库(又简称动态库)是很多工程项目中不可缺少的一部分。俗称.so文件(姑且就以linux系统为例，在windows中称为dll，在mac中为的dylib)，在平时的使用中我们对其察觉可能并不是很深，但其实我们玩电脑的时候无时不刻在使用动态链接库。
python3使用ctypes在windows中访问C和C++动态链接库函数示例 这是我们的第一个示例，我们尽量简单，不传参，不返回，不访问其他的动态链接库 一 测试环境介绍和准备 测试环境： 操作系统：windows10 Python版本：3.7.0 VS版本：vs2015社区版（免费） 相关工具下载： VS版本vs2015社区版（免费） Python3.7.0 （源码和安装文件） http://ffmpeg.club/python 二 C/C++部分代码 1 首先完成C/C++的动态链接库，与做python扩展库不同，ctypes调用的c++库其实与python没有代码关联，只是提供了开放公共标准。
距离笔者的《使用CEF》系列的第一篇文章居然已经过去两年了，在这么长一段时间里，笔者也写了很多其它的文章，再回看《使用CEF（一）— 起步》编写的内容，文笔稚嫩，内容单薄是显而易见的（主要是教大家按部就班的编译libcef_dll_wrapper库文件）。笔者一直以来的个性就是希望自己学习到的知识，研究出的内容，踩过的坑能够及时的写出来，介绍给更多的小伙伴。
1、单例：单例模式是一种使用广泛而又比较简单的设计模式，他的定义我就不多介绍了，大家上网一查就知道了，基本都能理解。在游戏开发中，会有很多单件，所以封装一个单例类供后面的开发使用。
C++静态库与动态库
项目中可能会经常用到第三方库，主要是出于程序效率考虑和节约开发时间避免重复造轮子。无论第三方库开源与否，编程语言是否与当前项目一致，我们最终的目的是在当前编程环境中调用库中的方法并得到结果或者借助库中的模块实现某种功能。这个过程会牵涉到很多东西，本篇文章将简要的介绍一下该过程的一些问题。
一直对 PHP 扩展了解的似是而非，每次安装扩展都要百度教程，很容易出现各种错误。所幸整理下管理扩展的所有操作，方便日后操作。
ASUS ROG Armory Crate软件安装了一个名为 Armoury Crate Lite Service 的服务，该服务容易受到幻像 DLL 劫持。这允许非特权用户在其他用户（包括管理员）的上下文中执行代码。要利用此漏洞，管理员必须在攻击者将恶意 DLL 放入路径后对受感染机器进行身份验证C:\ProgramData\ASUS\GamingCenterLib\.DLL。华硕已通过发布军械库 Crate Lite 服务 v4.2.10 版本修复了MITRE 分配 IDCVE-2021-40981的漏洞。
WinlogonHack 是一款用来劫取远程3389登录密码的工具，在 WinlogonHack 之前有一个 Gina 木马主要用来截取 Windows 2000下的密码，WinlogonHack 主要用于截取 Windows XP 以及 Windows 2003 Server
在上一篇文章中，介绍了PE_to_shellcode这个项目，并简单提了一句原理，本节就详细讲解一下PE是如何转化为shellcode的。
简介 尽管进程都设置了环境变量，它们往往被用户，开发者甚至是系统本身所忽略。对于一个像样的系统来说，环境变量就是其最根本，这里的系统包括但不仅限于Unix (Linux, BSD), Windows以及OS X。在微软操作系统的世界中，环境变量在其第一个版本DOS时期就已经出现，且一直沿用至今。环境变量得到重视还得从2014年9月份爆发的ShellShock漏洞说起。 关于ShellShock可参考 《ShellShock（破壳）漏洞余威不减：新ShellShock蠕虫扫描大量脆弱主机展开攻击》 《SEE
打开phpmyadmin提示:无法载入 mcrypt 扩展,请检查 PHP 配置错误,出现以下几种情况后可能会造成运行phpmyadmin程序提示“无法载入 mcrypt 扩展,请检查 PHP 配置”的 错误提示
加载插件是整个属性设计器的第一步要打通的功能，插件中的控件都加载不了，后面就别搞别玩下去了没法玩的，要从一个动态库中加载出来控件，肯定需要用到反射机制，以前做.NET开发的时候就觉得反射这个东西相当强大，居然可以读取DLL加载出来控件，现在用Qt，发现Qt也有反射机制，也许这东东可能各大开发语言平台都具备吧，Qt反射对应的类叫QMetaObject，着实强大，其实整个Qt开发框架也是超级强大的，本人自从转为Qt开发为主后，就深深的爱上了她，在其他跨平台的GUI开发框架平台面前，都会被Qt秒成渣，Qt的跨平台性是毋庸置疑的，几十兆的内存存储空间即可运行，尤其是嵌入式linux这种资源相当紧张的情况下，Qt的性能发挥到极致。
本文将通过一个经典的 “tensorflow找不到dll” 问题来入手，给大家一个如何找到缺失dll的办法，进而再分享一个windows上排查问题的好工具（因为大多开发者在windows上开发&在linux上部署，windows还是绕不过）。
上一篇我们讲了如何在windows和Linux上编译CoreClr的问题 虽然文章使用的是windows 10 (Bash)环境，但是也可以做为ubuntu环境的参考。
动态链接与静态链接的区别 静态链接库、动态链接库、导入库的区别 Linux下的静态库、动态库和动态加载库 ---- 总结：并没有找到动态链接与动态加载的明显区别，但动态链接与静态链接的区别是明显的： 一个是编译时就链接进可执行文件，一个是执行时才链接。 ---- 静态重定位 重定位时，取重定位项，加上重定位因子得到欲修改位置的实际地址。 优点：无须硬件支持 缺点：程序重定位以后就不能在内存中移动。要求程序的存储空间是连续的，不能把程序存储到若干个不连续的区域中。 动态重定位 当CPU取一条访问内存的
特权程序必须对所有输入进行安全检查。输入检查实际上是访问控制的一部分，特权程序必须这么做，来确保程序的安全。很多安全问题都是输入检查的错误造成的。
Shellcode是一个有趣的东西，我一直想使用miasm来学习很久了（因为几年前我在SSTIC上看到了第一次演讲），现在，我终于可以在这个新冠的夜晚里学习了。
进入http://ffmpeg.org/download.html,如果下载源码,则在右下方:
想到rasp这类工具是基于java、php运行期的堆栈信息进行分析，可以尝试使用jni技术进行绕过。java技术栈中的jni的原理是使用java调用c、c++函数，具体实现的思路是jsp编译为class文件，该class通过jni技术调用另外一处dll里的函数绕过黑名单执行命令获取回显，即可实现rasp和安全防护软件的绕过。github地址：https://github.com/nanolikeyou/jniwebshell
已解决Java中的java.lang.UnsatisfiedLinkError异常
前面我们提到了如果我们不希望把我们的源码提供出来，但是又想提供这个接口给调用者调用，那么这个该怎么做呢？
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
