- 博客(63)
- 收藏
- 关注
RSS订阅原创 第十一章：APC 注入的蓝队检测视角
本文从蓝队视角解析APC注入的检测逻辑与反制策略。核心检测点包括：跨进程APC调用、回调地址合法性、CREATE_SUSPENDED创建后异常行为及行为链关联。EDR通过监控NtQueueApcThread、ETW事件与进程创建回调实现告警。反制手段如使用NtCreateThreadEx隐藏标志、SetThreadContext替代APC，结合ModuleStomping将Shellcode写入合法模块，可有效绕过检测。最终强调，红队需打破“挂起→写内存→插APC→恢复”时序链，降低被关联分析风险。
2026-11-09 13:56:01
169
原创 第十章：Early Bird 时序攻击原理拆解
EarlyBird时序攻击利用CreateProcess(CREATE_SUSPENDED)创建挂起进程，在EDR钩子未完全落地的极短时间内，通过APC注入执行Shellcode。其核心在于：主线程恢复前，系统会先检查并执行APC队列，使恶意代码在进程入口点前运行。该技术绕过用户态钩子，隐蔽性强，是高级持久化攻击的重要手段。
2026-11-05 13:07:49
350
原创 第九章：APC 机制与NtQueueApcThread注入原理
本文详解APC注入机制与NtQueueApcThread原理：通过将Shellcode挂入目标进程线程的APC队列，利用线程进入“可提醒等待状态”（如SleepEx(TRUE)）时自动执行，实现无新线程创建的隐蔽注入。核心优势为规避EDR对CreateRemoteThread的监控，结合EarlyBird技术在进程启动初期注入，确保线程必进入可提醒状态，提升成功率。代码实现涵盖远程内存申请、线程枚举、APC投递及动态API解析，完整呈现从0到1的攻击链路。
2026-10-24 23:20:20
228
原创 第八章：模块踩踏的蓝队检测视角
本文从蓝队视角解析Module Stomping的检测机制，重点分析EDR如何通过监控.text节写入、线程起始地址及内存-磁盘完整性对比来识别异常行为。关键检测点包括：写入代码段且内容与原始文件不一致、合法函数被异常调用作线程入口。尽管Module Stomping比VirtualAllocEx更隐蔽，仍可被完整性扫描发现。红队反制思路包括使用APC注入绕过线程创建监控，或利用回调函数实现无痕执行，但需应对目标线程状态和上下文限制。
2026-10-15 14:07:53
108
原创 第七章：模块踩踏以覆写导出函数绕过CFG
模块踩踏（Module Stomping）是红队中高级隐蔽技术，通过覆写合法导出函数（如amsi.dll的AmsiScanBuffer）实现绕过CFG和内存检测。相比CodeCave注入，其入口位于已认证模块内，规避安全机制。核心原理为：利用本地RVA与远程基址计算目标地址，写入Shellcode后以合法函数入口创建远程线程执行。该技术不分配新内存、不新增模块，隐蔽性强，常用于绕过AMSI检测，实现脚本执行免杀。
2026-10-14 21:33:17
366
原创 第六章：CodeCave扫描与.text节空隙利用
本文详解CodeCave注入原理，利用PE文件节区对齐产生的空隙（如0x00/0xCC填充区）实现代码注入。由于现代系统启用CFG（Control Flow Guard），直接跳转至CodeCave会失败，需通过SetProcessValidCallTargets注册合法入口。文中提供两版实现：一版依赖IAT，另一版无IAT，使用函数指针+哈希动态获取API，提升隐蔽性。代码扫描.text节空隙，写入并执行shellcode，适用于调试与安全研究，但实际应用受限于权限与防护机制。
2026-10-14 13:46:32
191
原创 第五章：PEB遍历的蓝队检测视角
本文从蓝队检测与红队反制双重视角解析PEB遍历行为。蓝队通过监控异常访问频率、调用栈深度、内存特征及调试器附着等手段识别恶意行为；红队则采用拆分逻辑、间接调用、异常处理包裹等策略规避检测。核心在于：蓝队关注“何时、何人、如何”访问，红队则通过代码结构变形与行为隐藏实现绕过。
2026-10-08 12:48:39
155
原创 第四章：IAT隐藏验证（静态分析检验）
本文通过对比测试代码（Test1.cpp与Test2.cpp），验证IAT隐藏效果。结果显示：仅用哈希函数（如Ror13）处理明文字符串，若保留原生GetProcAddress交叉验证，编译后仍会残留敏感字符串于.rdata段；而直接硬编码哈希值则彻底消除明文，实现IAT与字符串双重隐蔽。使用PE-bear工具分析证实，版本B无导入表痕迹且无字符串泄露，真正达到“不留任何痕迹”的隐秘目标。
2026-10-03 16:15:14
52
原创 第三章：PE文件导出表结构与ROR13哈希算法
本文详解PE文件导出表结构与ROR13哈希算法的应用。通过解析DOS头、NT头及数据目录，定位导出表，利用AddressOfNames、AddressOfNameOrdinals和AddressOfFunctions三数组遍历函数名，结合ROR13哈希避免明文字符串暴露，实现无痕查找API地址。代码示例验证了该方法在绕过杀软检测中的有效性，适用于注入器等安全场景。
2026-09-29 18:36:51
173
原创 第二章：WOW64兼容性检测与32/64位PEB差异
本文介绍WOW64兼容性检测及32/64位PEB差异，重点讲解在64位Windows上识别目标进程位数的方法。通过NtQueryInformationProcess结合ProcessWow64Information（值26），可判断进程是否为WOW64（32位）。若返回值非零，则为目标进程的64位PEB地址。代码示例展示如何动态获取ntdll.dll基址与函数地址，实现跨位数检测。同时对比32/64位PEB结构偏移差异，强调在跨进程操作前必须确认位数，避免因指针错位导致崩溃。
2026-09-23 21:00:42
112
原创 第一章：PEB结构解析与内存定位
本篇内容内容讲的是不使用WindowsAPI定位kernel32.dll，通过PEB遍历模块链表。摘要需概括核心方法、关键偏移和目的。注意字数。</think>摘要：本文介绍如何绕过GetModuleHandle的EDR Hook，通过PEB手动定位kernel32.dll基址。利用gs:[0x60]获取PEB，经+0x18得Ldr，+0x20遍历InMemoryOrderModuleList，用CONTAINING_RECORD反推模块结构，读取DllBase和BaseDllName匹配目标。
2026-09-04 14:00:59
312
原创 Windows 红队实战：前言
准备新建专栏《Windows内核攻防：从PEB遍历到EDR规避》作为Windows基础API的延申学习笔记，GitHub同步更新。要求前置技能：C/C++、x64汇编、Python、虚拟机。本质是Windows底层开发+安全对抗，对读者前置要求较高。
2026-09-02 18:22:53
192
原创 一个暑假，从CPP的int num{}到内存扫描器的学习经验分享
作者通过实践开发了一个基于Windows API的简易内存扫描器脚本，展示了其C++学习成果。文章重点分享了三点学习经验：1) 基础阶段以网络教程为主，配合AI进行习惯纠正和特性拓展；2) 通过AI设计综合练习强化知识融会贯通，如使用指针解决vector存储子类问题；3) 进阶阶段让AI担任"老师"角色，定制个性化学习路径。作者强调实战编码的重要性，建议Windows API使用时重点掌握利用链和模块而非死记硬背。文章展现了Z世代学习者如何有效结合传统教程与AI工具，在编程学习中获得快速成长。
2026-08-21 22:17:02
169
原创 [强网杯 2019]随便注 思路及解法
本文介绍了两种绕过黑名单的SQL注入方法，用于解决[强网杯2019]随便注题目。方法一通过HANDLER命令直接操作数据库表，避免了被过滤的SELECT关键字；方法二利用预编译技术，将SQL语句编码为十六进制形式执行。两种方法都成功获取了flag，展示了在select等关键字被过滤时的有效绕过技巧。文章还分析了堆叠注入的原理和预编译绕过的核心思路，强调了开发中安全防护的重要性。
2026-07-11 23:25:52
283
原创 Windows 命令提示符(CMD)恶意脚本分析篇
本文分享了两个恶意.bat脚本的静态分析案例，旨在帮助网络安全学习者提升代码审计能力。第一个样本通过伪装成显卡驱动安装程序，利用自带的g++编译器现场编译恶意程序；第二个样本功能更复杂，包含AMSI绕过、UAC提权、关闭SmartScreen、添加Defender排除项、下载并静默安装远程MSI文件等操作。作者强调所有分析均在文本层面进行，未实际执行任何恶意代码，并对敏感信息做了脱敏处理。文章严格遵守网络安全法规，仅供防御技术研究，提醒读者必须在隔离环境中进行分析，切勿在实机运行恶意样本。
2026-07-10 22:45:53
2691
原创 [极客大挑战 2019]Upload 思路及解法
这篇文章介绍了[极客大挑战2019]Upload文件上传漏洞的解题过程。作者通过分析前端代码发现无校验机制，尝试上传PHP木马被拦截后，采用多种绕过手法：修改后缀为.phtml、伪造Content-Type为image/jpeg、使用<script language='php'>替代PHP标签、添加GIF89a文件头制作图片马。最终成功上传webshell并用蚁剑连接，在根目录找到flag。整个过程展示了文件上传漏洞的常见防御机制及绕过方法，包括后缀黑名单、MIME校验和内容过滤的突破技巧。
2026-07-10 14:58:24
330
原创 [GXYCTF2019]Ping Ping Ping 思路及解法
本文介绍了CTF题目[GXYCTF2019]PingPingPing的解题过程。通过分析发现目标网站存在命令注入漏洞，但存在空格和关键字过滤。解题者首先使用分号";"进行命令拼接，发现flag.php文件；随后通过$IFS$9绕过空格过滤，再采用变量拼接方式(a=g;fla$a.php)绕过flag关键字检测，最终成功读取到包含flag的PHP文件。文章总结了解题的关键步骤和核心思路，包括命令注入测试、分层绕过滤机制等技巧。该题主要考察了命令注入漏洞的利用和各类过滤机制的绕过方法。
2026-07-09 18:17:49
242
原创 WEB安全之CSRF专题：组合链攻击
文章摘要：本文详细讲解了CSRF（跨站请求伪造）漏洞的组合链攻击方式，包括CSRF+XSS、CSRF+SSRF、CSRF导致账户接管、Login CSRF、OAuth中的CSRF以及CSRF+点击劫持等攻击场景。每种攻击方式都通过靶场实践演示了攻击流程，并给出了具体的防御方法，如使用CSRF Token、二次验证、URL白名单、设置X-Frame-Options等。文章强调了CSRF漏洞与其他漏洞结合可能造成的严重后果，提醒开发者在安全防护上需要多层面防御，避免任何一环缺失导致系统沦陷。
2026-07-08 22:37:38
239
原创 [ACTF2020 新生赛]Include 思路及解法
本文介绍了[ACTF2020新生赛]Include题目的解题过程。通过分析网页源代码发现文件包含漏洞入口，利用../../../../etc/passwd确认漏洞存在后，尝试使用php://input伪协议执行命令被拦截。随后改用php://filter伪协议读取flag.php的base64编码内容，解码后在代码注释中找到flag。文章总结了文件包含漏洞的常见利用方法，包括不同PHP伪协议的使用场景，特别强调了当一种伪协议被拦截时的替代方案，以及如何通过base64编码绕过内容解析获取源码中的flag。
2026-07-08 20:22:45
266
原创 [ACTF2020 新生赛]BackupFile 思路及解法
本文记录了[ACTF2020新生赛]BackupFile靶场的解题过程。通过信息收集发现index.php.bak备份文件，分析源码发现存在PHP弱类型比较漏洞：当key参数为数字且与特定字符串弱相等时输出flag。利用PHP中"123ffwsf..."字符串转换为123的特性，构造payload提交key=123成功获取flag。解题过程涉及备份文件泄露、源码审计和PHP弱类型比较等知识点，强调了开发中清理备份文件和注意类型安全的重要性。
2026-07-07 17:33:15
278
原创 [极客大挑战 2019]EasySQL 思路及解法
本文介绍了使用SQL注入绕过登录框获取flag的具体过程。作者通过BUUCTF靶场演示了万能密码"111'or1=1#"的实战应用，解释了URL编码中"+"代表空格的原理，并强调"#"作为片段标识符会被浏览器丢弃的特性。文章总结了SQL注入的三个核心知识点：登录框是常见注入点、万能密码的工作原理以及注释符的正确使用方法。解题关键步骤包括测试闭合符号、构造万能密码payload以及获取flag回显，为网络安全学习者提供了清晰的SQL注入实战案例。
2026-07-06 15:25:06
231
原创 Windows 命令提示符(CMD)for循环与脚本架构
本文是Windows命令提示符(CMD)系列教程的最后一篇，主要讲解了for循环和脚本架构设计。文章首先介绍了for循环的基本概念和使用方法，包括四种参数形式（无参数、/d、/l、/f）及其应用场景，通过多个实例演示了如何批量处理文件、目录和文本内容。随后讲解了call命令实现脚本模块化的技巧，以及不同命令的选择策略。最后作者宣布将转向PowerShell的学习，并鼓励读者通过实践持续提升脚本编写能力。全文采用大量比喻和实战案例，使复杂的命令行概念更易理解。
2026-07-05 22:44:33
755
原创 [ACTF2020 新生赛]Exec 思路及解法
本文分享了[ACTF2020新生赛]Exec题目的解题过程。通过分析前端代码发现POST方式传输的target参数可能存在命令注入漏洞。测试发现系统未对输入进行过滤，利用分号(;)实现命令拼接：先输入合法IP地址8.8.8.8保持原命令执行，再拼接cat/flag命令成功读取根目录下的flag文件。解题关键点在于识别ping功能的命令注入风险，并利用分号实现多命令执行。该案例展示了未做输入验证导致的RCE漏洞及基本利用方法。
2026-07-05 12:50:46
214
原创 [MRCTF2020]PYWebsite 思路及解法
本文介绍了[MRCTF2020]PYWebsite题目的解题过程。通过分析网页源代码发现需要验证MD5值为"0cd4da0223c0b280829dc3ea458d655c"的授权码才能获取flag。直接访问flag.php被拒绝后，通过添加X-Forwarded-For:127.0.0.1请求头伪造本地IP成功获取到隐藏的flag：CTF2{690f46da-4898-4295-b832-df014171a30a}。
2026-07-04 14:33:08
274
原创 Windows 命令提示符(CMD)批处理脚本基础
本文介绍了Windows批处理脚本(.bat文件)的基础知识，主要内容包括： 批处理文件基础：解释.bat文件的作用和特点，演示创建第一个批处理脚本 变量使用：讲解set命令定义变量、set/p实现交互式输入、set/a进行数学运算 特殊变量：重点说明%~dp0获取脚本路径的实用技巧 流程控制：介绍if条件判断和goto跳转命令的使用方法 实战案例：提供了计算器、批量创建文件夹和环境检测三个实用脚本示例 文章采用命令解析+实例演示的方式，适合初学者快速掌握批处理脚本的基本语法和应用场景。
2026-07-03 22:55:50
544
原创 [BJDCTF2020]The mystery of ip 思路及解法
本文记录了道CTF题目的解题过程。通过分析SSL加密的TCP隧道目标，发现IP回显功能存在漏洞。利用X-Forwarded-For请求头伪造IP时，注入SSTI（Smarty模板）payload {{7*7}}触发RCE，最终通过{system('cat /flag')}读取根目录下的Flag。核心考点包括HTTP头伪造、SSTI漏洞利用及绝对路径操作，强调渗透测试中“处理逻辑”比“接收信息”更关键，任何可控输入点均可能成为攻击面。
2026-07-03 12:38:55
223
原创 [极客大挑战 2019]HTTP 思路及解法
本文记录了[极客大挑战2019]HTTP题目的解题过程。题目提供SSL加密的TCP隧道，通过curl工具分析发现实际为Web服务。解题关键是通过逐步伪造HTTP请求头突破验证： 发现隐藏的Secret.php入口 伪造Referer头通过来源验证 修改User-Agent伪装指定浏览器 添加X-Forwarded-For头伪造本地访问 核心考点包括HTTP协议理解、请求头伪造技术和源码分析能力，展示了curl工具在手工测试中的优势，强调渗透测试中请求头控制的重要性。
2026-07-02 22:42:02
621
原创 x64汇编之printf输出内容
本文介绍了如何在汇编语言中调用C标准库的printf函数进行格式化输出。文章详细讲解了调用printf所需的三个步骤：声明外部函数、使用gcc链接、入口点使用main。重点阐述了x64架构下的参数传递规则，包括整数和指针通过通用寄存器传递，浮点数通过xmm寄存器传递，以及al寄存器用于指定浮点数参数数量。文章提供了多种示例代码，涵盖字符串、整数、浮点数及混合输出的场景，并总结了常见的错误点。通过本文，读者可以掌握在汇编程序中使用printf进行调试和输出的完整方法。
2026-07-02 19:58:48
374
原创 WEB安全之CSRF专题：进阶内容拓展
本文摘要：文章深入探讨CSRF攻击的三种高级利用场景及现代架构下的攻击向量。通过XSS漏洞窃取CSRFToken实现攻击绕过，分析CSRF蠕虫的传播机制，以及Referer检查的绕过方法。同时针对JSON API、WebSocket、SPA和GraphQL等现代架构，详细解析其CSRF攻击原理及防御策略。文章强调单一防御措施的局限性，提出应结合Token校验、Origin验证、SameSite属性等多维度防护措施，构建纵深防御体系。文中包含多个靶场演示代码，帮助理解攻击实现细节和防御方案。
2026-06-25 12:30:47
353
原创 x64汇编之堆栈工作原理理论篇
堆栈（Stack）是计算机内存中一块具有特殊访问规则的区域。它的核心规则是：后进先出（Last In, First Out，LIFO）。也就是说，最后存入堆栈的数据，会被最先取出。对齐是指数据在内存中的起始地址必须是某个数值（通常是 2、4、8、16 等）的倍数。例如：- 2 字节对齐：地址末位为 0（二进制）。- 4 字节对齐：地址末两位为 00。- 8 字节对齐：地址末三位为 000。- 16 字节对齐：地址末四位为 0000。
2026-06-03 11:36:29
570
原创 x64汇编之GDB进阶，序言/尾声及大小端
这篇文章介绍了汇编语言与高级语言连接的几个关键概念和调试技巧。主要内容包括： GDB高级调试命令： watch监视变量变化 backtrace查看函数调用栈 frame切换栈帧 disassemble反汇编代码 函数调用机制： 函数序言(保存rbp、分配栈空间) 函数尾声(恢复栈空间) 调用约定和栈帧结构 字节序概念： 大端与小端的区别 x86架构使用小端序 调用C库函数： printf的使用方法 参数传递规则 栈对齐要求 文章通过具体示例演示了这些概念的实际应用，帮助读者更好地理解和调试汇编程序。
2026-06-02 12:35:00
279
原创 x64汇编之用调试器进行程序分析：GDB
本文介绍了GDB调试器在汇编学习中的核心作用，包括单步执行、寄存器/内存监控等功能。通过hello.asm示例演示了调试流程：编译程序后，用break设置断点，run运行至断点，stepi单步执行，info registers观察寄存器变化，x/s查看内存字符串。文中还总结了GDB命令速记规律（如info+名词、x格式化查看内存）及实用技巧（display自动显示、回车重复命令）。最后通过练习巩固了寄存器修改、内存查看等操作，帮助初学者高效调试汇编程序。
2026-06-01 07:38:16
281
原创 WEB安全之CSRF专题：基础概念与攻击方式实战
本文介绍了CSRF（跨站请求伪造）漏洞的基础概念、攻击原理与实战演示。CSRF利用用户已登录状态，诱导其执行非预期操作，如转账、修改密码等。文章详细解析了GET型和POST型CSRF的攻击方式，包括隐藏图片、自动提交表单等技巧，并通过本地靶场演示了漏洞利用过程。同时对比了CSRF与XSS的区别，指出CSRF是"借刀杀人"而非直接窃取凭证。最后简要提及防御措施，如CSRF Token、SameSite Cookie等。全文通过实例讲解，帮助读者深入理解这一经典Web安全漏洞。
2026-05-28 21:55:16
271
原创 Windows 命令提示符(CMD)内容补缺&输入输出重定向及管道
本文介绍了操作系统基础中的输出输入重定向与管道操作。主要内容包括：1. echo命令的功能与用法，包括输出文本、显示变量值和创建文件；2. more命令的分页显示功能；3. 标准输入输出的概念及重定向操作符（>和>>）的区别；4. 管道符（|）的作用及与重定向的区别；5. findstr命令的文本过滤功能及常用参数。通过实验演示了如何组合使用这些命令完成日志分析与报告生成流程。
2026-05-27 17:56:20
576
原创 Windows 命令提示符(CMD)的进阶用法讲解
本文介绍了CMD命令的高级用法，包括目录操作（md/rmdir）、文件操作（del/type/attrib）、复制移动（copy/xcopy/move/robocopy）等，重点讲解了通配符的灵活应用。特别深入剖析了"图片马"的制作原理：通过copy/b命令将恶意代码附加到图片文件末尾，利用文件格式特性绕过检测。文章既展示了CMD命令的强大功能，又从攻防角度分析了网络安全的关键点，强调基础命令知识在安全领域的重要性，适合网络安全学习者提升实战能力。
2026-05-26 09:46:00
381
原创 Windows 命令提示符（CMD）文件与目录操作基础
本文是一篇面向IT初学者的命令行操作入门指南。文章从基础概念入手，详细讲解了Windows命令行中的核心操作：盘符切换（如C:、D:）、目录导航（cd命令）、文件查看（dir命令）及其常用参数（/p、/w、/a等）。特别强调了绝对路径与相对路径的区别，通过". "和".. "的哲学意义帮助读者理解文件系统的层级结构。文中包含多个实操示例，指导读者完成从盘符切换到多级目录跳转的完整练习，并附有Windows和Linux学习大纲的下载链接。全文采用通俗易懂的"树
2026-05-25 13:19:14
445
原创 统一实验环境与计算机基础概念
《操作系统底层学习指南》专栏开篇，作者凌（16岁网络安全学习者）分享搭建本地大模型时发现的基础知识短板。专栏将系统讲解操作系统核心概念（内核/外壳、文件系统）、命令行重要性及虚拟机实践。重点演示了Windows系统破坏性实验：通过命令行获取System32权限并重命名DLL文件导致系统崩溃，随后用虚拟机快照恢复。专栏后续将涵盖注册表、环境变量、系统运维及网络安全等内容，帮助读者掌握底层操作能力。
2026-05-23 13:50:11
499
原创 信息安全工程师之《网络安全体系与网络安全模型》
网络安全体系是保障网络安全的顶层框架，由法律法规、技术措施、管理策略等要素构成。核心模型包括：BLP机密性模型（下读上写）、BiBa完整性模型（防篡改）、PDRR四道防线（保护-检测-响应-恢复）及WPDRRC六环节模型（预警-保护-检测-响应-恢复-反击）。等保2.0实施五步流程（定级-备案-整改-测评-监督），要求三级以上系统每年测评。X.800标准定义五类安全服务（认证/访问控制/机密性/完整性/不可否认性）和八种安全机制（加密/签名等）。评估标准包括TCSEC（操作系统分级）和CC（通用IT产品评估
2026-05-22 20:45:58
715
1
原创 信息安全工程师之《密码学基本理论》
密码学基础概念与国密算法应用摘要 密码学体系包含密码编码与密码分析两大分支，核心目标是保障信息安全四大特性（机密性、完整性、可用性、抗抵赖性）。我国密码法体系以《电子签名法》和《密码法》为法律基础，建立密钥全生命周期管理机制。国密算法中，SM2（非对称）、SM3（哈希）、SM4（对称）构成完整技术栈，其中SM2较RSA具有显著效率优势。数字签名通过哈希运算和私钥加密实现认证三要素（身份、完整、不可否认），数字信封则采用"对称加密数据+非对称加密密钥"的混合模式。PKI体系以CA为核心实现
2026-05-22 14:16:35
540
原创 信息安全工程师之《网络攻击原理与常用方法》
网络攻击是指利用技术手段破坏系统安全属性的恶意行为，主要包括信息泄露、完整性破坏、拒绝服务和非法使用等类型。常见攻击技术包括缓冲区溢出、SQL注入、XSS跨站脚本和DDoS分布式拒绝服务等。典型的攻击过程分为八个步骤：隐藏攻击源、收集目标信息、挖掘漏洞、获取权限、隐蔽行为、实施攻击、开辟后门和清除痕迹。防御措施包括使用安全编码、参数化查询、输入过滤和权限控制等。攻击模型如MITRE ATT&CK和网络杀伤链模型将攻击行为分为不同阶段，有助于分析和防范网络安全威胁。
2026-05-21 22:16:20
365
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人