m0_64973256的博客

欲想善其事必先利其器，无论是网络安全何种方向，都有自己经常用的工具环境，那么PWN也一样，拥有一个完善的工具环境，可以节约我们很多事，也不会在关键时候因为外在条件而卡壳，可谓逢山开山，逢水架桥，成为一个牛逼pwn手。命令：sudo apt install open-vm-tools。

那么这件事为什么会引起全球关注呢，大家通过美国对日本投放原子弹后果，导致广岛长崎任然处于核辐射领域，再加上当时幸存者受到核辐射的一系列反应后果，现在对于“核辐射”，“基因变异”等相关字眼已经属于闻风丧胆的地步，而对于人体危害根据核辐射强度，会导致疲劳、头昏、失眠、皮肤发红、溃疡、出血、脱发、白血病、呕吐、腹泻等。匿名者起源于国外，是一种以共同理念组成的黑客团体，当然，匿名者自称其不是组织，也不属于任何一个企业和政党，它只是一个理念，一个想法。而日本原子能机构表示，其网站的流量是平时的100倍。

1.张雪峰老师简介张老师本名张子彪，1984年出生于黑龙江省齐齐哈尔市，毕业于郑州大学给排水专业，目前是苏州峰学蔚来教育科技有限公司法定代表人，苏州研途教育科技有限公司副总裁、联合创始人。2023年1月9日，当选江苏省第十四届人民代表大会代表。2016年凭借《七分钟解读34所985高校》走红，主要研究考研方向，大学选报专业等方向。经常上各类节目，并在抖音平台发表作品，直播连麦解答选就业考研等相关问题，在这块领域有很高的成就和庞大的粉丝基础。2.张雪峰老师力荐的十大专业。

这俩款工具都是动态调试工具，使用方式也大致相同，唯一区别的OD属于经典款，各种功能插件及其全面好用，唯一不足就是没有64位版本，而x96dbg分x32dbg和x64dbg，支持64位，但是他的插件没有OD那么完善。常用到的就是F7单步步入，比如走到一个call指令，F7会跟进call内部函数，F8单步步过则会跳过call内函数，执行到call下一行，F4是运行到当前光标位置，F9是让程序运行，Ctrl+F9是执行到当前call的返回地方ret指令。内存断点：修改当前位置的内存属性，达到触发异常的目的。

这次漏洞属于堆溢出漏洞，他是MIDI文件中存在的堆溢出漏洞。在IE6，IE7，IE8中都存在这个漏洞。而这个漏洞是Winmm.dll中产生的。MIDI文件属于二进制文件，这种文件一般都有如下基本结构：文件头+数据描述 文件头一般包括文件的类型，因为Midi文件仅以。mid为扩展名的就有0类和1类两种，而大家熟悉的位图文件的格式就更多了，所以才会出现文件头这种东西。他通过Winmm.dll解析这种文件之后可以播出音乐。结构图如下：块名称块标记（四字节）块长度（四字节）块数据头块“MThd”

作者丨黑蛋目标程序调试工具16进制编辑器XP SP3ollydbg010Editor。

视频制作不易，求三联支持，拜谢~+公众账号（极安御信安全研究院/北京极安御信安全研究院）报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。

有了Shellcode，我们可以开始进行漏洞分析，这里就需要动态调试工具OD了，去附加有漏洞的进程，通过附加Office2003，找到漏洞溢出点，所以研究漏洞，我们还需要对汇编语言的学习，以及对调试工具的熟练使用，而熟练使用调试工具，我们是必备一定的正向开发基础，以及扎实的汇编基础，随后才可以对调试工具的使用进行学习练习。然后才可以通过对漏洞软件的调试，找到溢出点，然后构造我们的Payload，完成我们一次对漏洞Exp的编写，完成我们一次对漏洞的分析利用。语言，数据结构，系统编程，

这是一个驱动开发岗位，他对网络安全这块的知识点要求比较高，首先一般程序员是不会学习涉及到驱动开发之类的东西，这类的东西书籍少，学习视频更少，受众小，所以研究人员也是很少的一部分，在庞大的计算机人员中属于小众。安全开发同样是网络安全领域的一大方向，包含很多，与其他方向不同的是，安全开发对于编程能力的要求要更高，就像对多种编程语言的熟练，开发工具的熟练使用以及算法之类的东西。安全开发人员需要具备良好的学习能力和对新技术的敏感性，不断学习和掌握新的安全技术和防御方法，以保证系统或应用程序的安全性。

这里REVERSE和PWN属于二进制方向，也是我们方向找工作，会在CTF中负责的模块，要么负责出题，要么负责打比赛，REVERSE就是逆向，它比较杂乱，不仅仅有Windows平台上的题目，还会给安卓平台上的题目，还有各种语言写成的文件，Java、go、python、C、C++等，然后又会有各种壳，VM，反调试手段，各种加密算法的考验，REVERSE一直以来都是CTF比赛中难度最大的一个方向。最后根据获取的分数进行排名。这个要求比较多，和CTF相关，设计CTF，AWD的题目设计，以及对学员进行培训等。

之前我们简单看了看二进制逆向岗位和漏洞岗，今天我们来看一看病毒岗位，就单纯看二进制病毒岗位和漏洞岗位，其所需要的基础知识是差不多的，在Windows平台上，无非就是汇编，C语言，C++，数据结构，算法，Windows系统编程，PE文件，逆向能力，包括对汇编代码的阅读能力，对各种逆向工具的使用，像OD，Ida，Windbg等等。这个岗位要求很基础，都是对反病毒，逆向工程，系统漏洞有强烈兴趣，但是没有具体要求，然后就是熟悉汇编，熟练使用反汇编工具，具有一定正向开发能力等二进制基础要求。是写报告，分析数据这种。

小红是一个喜欢新鲜事物的人，一天他在某电商平台上看到有39元的超值福袋出售，根据卖家的描述，福袋里面的东西不指定随机发货，运气好的话有九成新的数码产品，手表，钱包球鞋等等，运气一般的话就是过季的服饰，零碎的物品，福袋的质量，不保证东西不退不换，但是可以买一份刺激，这种销售模式让小红觉得非常的新奇，而且卖家的品种里面还有好几个晒图说收到了价值几百块的衣服和数码产品，于是他马上下单，过了几天小红收到了寄来的快递，拆开之后，他才发现里面是一根劣质耳机和一条塑料珠子串成的手链，加起来不超过5块钱。

我们针对电视剧中出现的羊毛党这一群体进行详细了解一下：首先对于羊毛党而言，受害者是商家，就像电视剧中某公司饮料在饮料瓶盖进行二维码兑换活动，结果被羊毛党修改二维码，进行大量的中奖兑换，导致公司损失惨重。（2）营销活动相关：就像抢茅台这种，利用大量账号，脚本去抢购原价茅台，然后高价转卖出去，获取大量利润，或者什么无门槛优惠卷等东西；（3）黄牛：和羊毛党有些类似，对各种优惠产品进行抢购，再转卖，像演唱会门票，各种优惠卷等；（2）垃圾注册：用假的身份信息，虚假的电话号码，邮箱等批量注册账号，进行养号；

当用户传入0x222080的时候，驱动进入这个分支，如果数组byte_140013190里的8个值均为1，则会跳转到LABEL_21，很显然，这里验证的内容是dword_140003000的开头是否是hitcon，这说明这里会出现flag。于是经过一番倒腾测试，发现执行一个函数，只有最后一个函数能执行下去，能行，一定是顺序问题，经过又一番测试，得到最终测试顺序，这大概是某种保护手段，阻碍静态分析，真正的函数是运行中动态生成的（实测，异或这两轮的结果并不是可执行的代码）

可以看到，ESI地址指向的值已经拷贝到了栈中EBP-10的位置向下。而返回地址在EBP+4的位置，我们已经可以确定淹没返回值的位置了。cve-2010-3333是一个Office 2003 的栈溢出漏洞，其原因是在文档中读取一个属性值的时候，没有对其长度验证，导致了一个溢出，看着很简单的一个漏洞，却又有点恶心人。这里7FFA4512已经被识别成70004512。后面的弹窗shellcode也是一样。标记3处：这里是00000000，用来让je跳转，不要进入循环call；

所以我们需要在EQNEDT32.exe中下断点，而不是word里面下断点。可以看到计算器的父进程是cmd，但是cmd的父进程存在PID，但是在列表中却找不到PID为1404的进程，卡顿许久，猜测或许是cmd父进程隐藏了自己或者启动时间太短，启动完自己结束。也就是这里是通过淹没返回地址到WinExec上，然后通过修改字符串控制WinExec的参数，启动cmd打开计算器实现。通过启动cmd，打开了计算器，而之后的的AAAA等都是传给计算器参数，是无效的。

作者：黑蛋上篇文章说到周游去偷秦淮电脑东西，并绕过了秦淮电脑开机密码。但是随后又因为周游自己使用的软件有病毒，有损毁文件的功能，导致秦淮一直在分析的数据丢失了一部分。所以他们又开始神乎其技的恢复数据： 我们大家在平时，误删的文件都会在回收站中找回，但是如果在回收站中都删除了，那么就毫无办法。但是如果拿到修电脑的技术人员手中，亦或者网上有很多种数据恢复软件，都是可以恢复数据的。那么这种神奇的手段原理是什么呢，今天我们就来聊一聊常见的数据恢复技术–软件恢复。在聊软件恢复前，我们先简单介绍看一下操作系统对文件

这是社会工程师中使用最为广泛的方法，原理大致是这样的，社会工程师首先通过各种手段(包括伪装)成为你经常接触到的同学、同事、好友等，然后，逐渐，他所伪装的这个身份，被你的公司其他同事认可了，这样，社会工程师会经常来访你所在的公司，并最终赢得了任何人的信赖。就像我们在电影上、电视剧中的梦幻情节，忽然在某天，有一位帅哥(或美女)突然要约你出去，期间，你们俩就一见投缘，谈笑甚欢，更美妙的是，见面之后，一次次约会接踵而来，直到她可以像讨论吃饭一样，不费精力就能轻而易举从你的口中，套出了公司的机密信息。

由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击，其中的攻击者可以有多个。反射器在收到数据包是，会认为该数据包是由目标所发出的请求，因此会将响应的数据发送给目标，当大量的响应数据包涌向同一个目标时，就会消耗目标的网络带宽资源，以此造成DDoS攻击的目的。DNS的作用就是通过主机名，最终得到该主机名对应的IP地址的过程叫作域名解析(或主机名解析)，在解析域名时，首先采用静态域名解析的方法，如果静态域名解析不成功，再采用动态域名解析的方法，将一些常用的域名放入静态域名解析表中。

这也就意味着，我们可以对目标主机为所欲为，做很多普通人无法想象的事情。而像删除照片等事情更是毫无难度，但是在这里我们需要了解一个事情，客户端运行时需要管理员权限的，才可以做到这些事情，所以在使用软件的时候，我们必须格外注意权限的给予，否则我们的隐私将被一览无余。

随着现代软件工业的发展，软件规模不断扩大，软件内部的逻辑也变得异常复杂。防御系统本质是带来了一层保护层，而如果知道系统漏洞，就可以直接绕过保护，类似于家门口上的锁，我用了某家的锁来锁门，来防止小偷，但是制造锁的人却知道如何简单的撬开锁，甚至有一把备用钥匙，可以让锁形同虚设。在这里我们可以看到，如果输入正确口令，那么就可以打开大门，但是如果是作者喊出的口令，无论对错，都会打开大门，这里可以看做作者给自己留的后门，而这个后门是其他人不知道的，如果其他黑客发现这个地方，那么就可以模拟作者声音喊出口令，打开大门。

计算机病毒是人为制造的，有破坏性，又有传染性和潜伏性的，对计算机信息或系统起破坏作用的程序。它不是独立存在的，而是隐蔽在其他可执行的程序之中。计算机中病毒后，轻则影响机器运行速度，重则死机系统破坏；因此，病毒给用户带来很大的损失，通常情况下，我们称这种具有破坏作用的程序为计算机病毒。

通俗来讲，白帽子是指从事正当行业的黑客，他们相当于黑帽与白帽，也就是对网络有很深的了解，并且不骚扰别人。至于灰帽子，是介于白黑之间，亦称灰帽黑客、灰帽子黑客，是指那些懂得技术防御原理，并且有实力突破这些防御的黑客——虽然一般情况下他们不会这样去做。与白帽和黑帽不同的是，尽管他们的技术实力往往要超过绝大部分白帽和黑帽，但灰帽通常并不受雇于那些大型企业，他们往往将黑客行为作为一种业余爱好或者是义务来做，希望通过他们的黑客行为来警告一些网络或者系统漏洞，以达到警示别人的目的，因此，他们的行为没有任何恶意。

终于在第四集中，给出了答案。至此，大家应该对IP地址有一个较为清晰的认知，同时，我们也应该知道IP溯源的关键点，拿到对方IP，即攻击源捕获，方法有很多，像扫描IP，日志与流量分析，钓鱼邮件等手段获取敌方IP。以上知识手段只是简单介绍，他属于网络安全方向中的渗透方向，如果对网络安全渗透方向有了深入的学习，不单可以做到很多很酷的黑客事情，也可以应聘像安全服务工程师，安全研究等网络安全岗位，拿到及其可观的薪资。地址就像是我们的家庭住址一样，如果你要写信给一个人，你就要知道他（她）的地址，这样邮递员才能把信送到。

这个画面一闪而过，可以看到，在这个画面中可以看到一堆有锁的文件，还有“已耗时1003天，预计剩余8928天”，“FILE TRANSFER DECRYPTION（文件传输解密）”等字眼，我个人感觉这是一个伏笔，一条隐线。秦淮已经等待这个文件破解已经三年左右，还需要8928天，这条时间线很关键。哈哈哈，废话不多说，今天在这里，给大家介绍一个东西–压缩包密码破解工具（ZIP），就像秦淮正在做的事。可以看到，密码已经被爆破出来，这就是一次简单的压缩包爆破例子。

所谓的钓鱼网站到底是个什么东西，他是黑客手段中比较简单常见的一种技术，简单来说就是仿造正规网站，然后通过用户授权，输入关键信息，这些信息会反馈到黑客的服务器后台中，达到获取用户信息的目的。如果手机上下载了恶意软件，这些软件可以自己设置自启动，自己后台运行，获取键盘输入信息，各种网站浏览记录，手机保存照片视频等，把这些信息发送到黑客手中，获取用户在某个网站账户信息，就可以登录这个网站，获取更多的信息，亦或者进行其他恶意行为，也可以售卖用户信息，然后不法分子可以通过这些信息，对用户实施诈骗。

有趣的验证方式，通过输入的用户名生成贪吃蛇地图，通过密码来进行移动，吃完豆子CC，走到终点DD算验证通过，很有趣的一次逆向体验。本文图片未能上传成功请移步公众号：极安御信安全研究院 查看。

本文图片未能上传成功请移步公众号：极安御信安全研究院 查看作者：selph。

可以猜到flag的长度为20，如果不是20，直接到打印错误的地方，继续向下看，下面对字符串进行第一次处理。1、进入主函数（很明显是vs写的程序，根据步骤找主函数就行）可正常运行，接下来分析算法。

作者：selph漏洞分析：CVE-2014-4113漏洞介绍漏洞程序Microsoft Windows是美国微软（Microsoft）公司发布的一系列操作系统。win32k.sys是Windows子系统的内核部分，是一个内核模式设备驱动程序，它包含有窗口管理器、后台控制窗口和屏幕输出管理等。如果Windows内核模式驱动程序不正确地处理内存中的对象，则存在一个特权提升漏洞。成功利用此漏洞的攻击者可以运行内核模式中的任意代码。攻击者随后可安装程序；查看、更改或删除数据；

然后中间处理了一下两字节值，初值是4DE1是参数传入的，修改方式是使用异或后的一字节，加上原本的两字节值，然后乘以安全对象的第一个成员，最后加上安全对象的第二个成员的值（第一个成员的值和第二个成员的值可以通过动态调试得知，是固定值）首先以硬编码0xce6d和0x58bf创建了一个对象结构，然后读取Name，计算一个字符串，然后读取Serial字符串，进行比对，一样则表示成功，否则表示失败。验证逻辑很简洁，就两件事：读取文件遍历每一个字符累加起来，判断累加和是否是20A9，是的话，表示验证成功，否则是失败。

5. 在相同环境下，同一个程序连续运行两次，时间有很大区别，可能吗？2. 吹项目，延伸了一些内核(Linux)对抗上面去了，如何防御自己写的东西（内核的病毒）1. fuzz的概念，afl与程序交互的方法，afl fuzz过什么？28. hook原理，多态概念，虚函数实现原理，虚函数hook怎么做。1. 常见的漏洞的利用技巧，缓解措施的绕过，分析过的cve，挖过没。7. afl在记录路径的时候分类，路径那么多用的什么实现记录的。6. afl进行的程序交互，管道，有别的进程交互实现吗？

loc_00402170: var_8008 = Asc(CStr(Mid(var_44, CLng(var_24), 1))) // 取一个字节变成ASCII码。（大部分代码没啥用，主要看自动注释的内容，还有函数call，是否是处理我们输入的内容，如果是，大概率就是我们要看的地方，否则先跳过吧）loc_004021A0: var_34 = var_34 + var_8008 // 累加到var_34。– 后来取其中第2，4，7个字符拿来计算，确保这个字母组合的这几个位置的字母是固定的，这三个位置都是e。

循环遍历每一个字符，序列号如果说是纯数字，那么减去0x30就相当于是把字符数字变成整数类型的数字，然后每次操作一个数字累加到edi之前就先乘以一次10，那么这个逻辑就相当于是字符串转整型的操作。到了上一层：看到的是个窗口过程函数，这里在比对消息码，这里弹窗往上有个DialogBoxParamA的调用，应该就是创建Register对话框的函数，所以跟进这里的窗口过程。获取完成输入之后，对用户名进行一个处理，然后对序列号进行一个处理，就进行对比，如果相同，则跳转。

视频制作不易，求三联支持，拜谢~+公众账号（极安御信安全研究院/北京极安御信安全研究院）报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。进交流群报暗号“交流群”

第三段运算使用到了第二段运算计算的结果，对这个结果除以10取余数，用余数作为索引依次从固定字符串里取值，每次取值之后，再对刚刚那个结果除以4求商，并把商保存起来下次循环的时候用，这里的取余数和求商依然是自写函数，功能简单就不展开描述了。第二段运算是基于用户名的运算，首先判断了用户名长度，必须大于4字节，然后调用了一个自写函数对用户名计算了一个结果，然后进行位移操作，与或操作之后得到一个新的值，这个值与第一段运算的结果有关，最后保存起来第二段计算的结果。

Delphi程序逆向练习，借助工具IDR可以很方便的识别Delphi函数，这个CM使用了经典的重启验证，让验证函数在窗口创建前进行验证，注册机较为复杂，暂时还写不出来。这个调用的函数：sub_0045D0F4，这应该就是一个校验函数，根据返回al的值是否为0，来进行判断跳转，这个跳转应该是关键跳了。然后接下来，程序连续走了两趟相同的操作，分别是对刚刚通过用户名计算出来的结果和我们输入的SN，然后将结果进行对比，返回。大概看了一下，字符串里有个reg.dll，但CM文件只是单一的exe，可能存在释放文件。

视频制作不易，求三联支持，拜谢~+公众账号（极安御信安全研究院/北京极安御信安全研究院）报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。进交流群报暗号“交流群” ...

(2)既然我们需要shellcode前四个字节指向一段程序，为什么不直接指向下面的弹窗shellcode的位置，这是因为拷贝函数判断拷贝结束是看这个字节是否=\x00，而我们栈中的地址都是\x00开头，这样会导致拷贝终止，所以我们shellcode除了最后一个字节可以为\x00,其他地方均不得出现\x00，故而我们在程序中寻找不会出现\x00的地址，指向pop，pop，ret，达到控制程序流程到我们的shellcode的目的。覆盖虚表地址的四字节，同样是我们这段字符串在栈中的首地址。...

作者：黑蛋1.简述在 Windows XP SP2 及后续版本的操作系统中，微软引入了 S.E.H 校验机制SafeSEH。SafeSEH 的原理很简单，在程序调用异常处理函数前，对要调用的异常处理函数进行一系列的有效性校验，当发现异常处理函数不可靠时将终止异常处理函数的调用。如果我们采用缓冲区溢出淹没SEH处理函数，让SEH处理函数直接指向我们栈中的shellcode，会被SafeSEH发现，并拒绝执行此处理函数。