<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[pureman_mega的博客]]></title><description><![CDATA[程序=数据+算法]]></description><link>https://blog.youkuaiyun.com/pureman_mega</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; pureman_mega]]></copyright><item><title><![CDATA[ grok 驱动级键盘按键记录器分析 ]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/146730511</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/146730511</guid><author>pureman_mega</author><pubDate>Wed, 09 Apr 2025 18:26:35 +0800</pubDate><description><![CDATA[前面检查csrss.exe进程是因为后面解析shadow-ssdt数据需要gui进程环境，需要附加到csrss.exe进程，然后才方便解析shadow-ssdt。确认需要hook函数的地址，然后保存函数体前几个被覆盖的字节码，填入劫持的跳转shllcode地址。最后，这是个古早的样本了。shadow-ssdt hook 在较新的win10/win11上是无法进行的，因为pg对shadow-ssdt 数据进行了保护。系统版本相关的shadow-ssdt函数序号，根据系统版本赋值，解析过程就不展开。]]></description><category></category></item><item><title><![CDATA[uac bypass 相关资料]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/145882322</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/145882322</guid><author>pureman_mega</author><pubDate>Wed, 26 Feb 2025 17:16:15 +0800</pubDate><description><![CDATA[在较新的win11上面，通过netplwiz来绕过uac已经无效了；通过cmd命令行启动netplwiz就会出现uac弹窗。第七步，选择 所有文件，查找cmd.exe;右键以 管理员权限运行，不会弹出uac框。第四步 点击帮助按钮，弹出下拉菜单，选择 帮助主题 如下。第五步 右键，弹出菜单，选择  查看源文件。第六步，点击 文件，选择 打开。]]></description><category></category></item><item><title><![CDATA[[记录贴] 火绒奇怪的进程保护]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/145850536</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/145850536</guid><author>pureman_mega</author><pubDate>Tue, 25 Feb 2025 13:30:56 +0800</pubDate><description><![CDATA[但奇怪的是，在另外一台机器上面更新到最新版本，火绒相关的进程还是可以被processhacker杀掉；pyark还是可以强杀的。进程强杀之内存清零---]]></description><category></category></item><item><title><![CDATA[wmic 创建事件消费者实现自启动]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/145287812</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/145287812</guid><author>pureman_mega</author><pubDate>Tue, 21 Jan 2025 22:45:02 +0800</pubDate><description><![CDATA[最新版本的火绒不拦截这个命令，eset nod32阻止创建。]]></description><category></category></item><item><title><![CDATA[某“银狐”样本清除思路]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/144570566</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/144570566</guid><author>pureman_mega</author><pubDate>Wed, 18 Dec 2024 23:00:50 +0800</pubDate><description><![CDATA[Update.wnc对应的是计划任务运行的文件，计划任务项目名称为 kafanbbs（可以在系统日志中找到相关记录）,对应的xml文件时EFCF.tmp在临时文件夹。3, 去runtime.exe所在文件夹下，发现并没有对应的文件；所以把上面这些文件及创建的表项删完，基本上就清除干净了。直接ctrl+a+ctrl+d 删除这些文件，本能删除的尝试重命名；curl.dll和tProtect.dll对应的是驱动服务，需要删除服务项。可以看出，Autoruns并没有列举出”银狐“注册的特殊计划任务，差评。]]></description><category></category></item><item><title><![CDATA[x64 gs寄存器解读]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/143786350</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/143786350</guid><author>pureman_mega</author><pubDate>Fri, 15 Nov 2024 09:34:17 +0800</pubDate><description><![CDATA[**原文链接：https://blog.youkuaiyun.com/QQ1057081261/article/details/131598154。值得一提的是,虽然gs:[0x60] 直接存放的PEB,但是由于vista/7后的地址随机化机制,还是从TEB获取比较靠谱.由于x64下vs2005没法直接使用内联汇编,所以只把必须使用汇编来做的事情写成单独的asm。得到了PEB,剩下的就和x86下一样了.只是偏移不一样了。x64下.指针的长度已经是8个字节,所以偏移不一样了.//用c语言描述就是。]]></description><category></category></item><item><title><![CDATA[locked勒索病毒流程记录]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/137043206</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/137043206</guid><author>pureman_mega</author><pubDate>Tue, 26 Mar 2024 13:38:54 +0800</pubDate><description><![CDATA[大部分功能都集中在模块3里面，其采用c#编写；内部有通过base64编码的形式携带易被利用的驱动和用于加密的模块。其中3.1和3.2可以在github上找到对应的仓库；关键点：socket+VirtualAlloc+CreateThread。模块 3，1，nday提权   2，byovd攻击进行杀软对抗 3，调用加密模块加密文件。模块 2,带有混淆的hta脚本通过mshta.exe执行。主要介绍其各个模块之间运行流程，不做细节上分析。3.1 相关git链接。3.2 相关git链接。]]></description><category></category></item><item><title><![CDATA[关于byovd攻击的原材料]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/136649575</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/136649575</guid><author>pureman_mega</author><pubDate>Tue, 12 Mar 2024 13:40:20 +0800</pubDate><description><![CDATA[关于byovd攻击的防御模型还行还没有怎么听说过，大部分厂商都是像wd一样使用黑名单或者提取特征，没有那种通用的处理方法。里面应有尽有啊，简直就是，完全看你自己的发挥咯。用的好就是第三方驱动插件，支持各种功能diy。]]></description><category></category></item><item><title><![CDATA[进程间通信之alpc]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/135414119</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/135414119</guid><author>pureman_mega</author><pubDate>Fri, 05 Jan 2024 17:18:00 +0800</pubDate><description><![CDATA[常见的进程间通信有管道，共享内存等。下面演示一种交少见的机制，alpc (advanced local procedure call)。文件CPP-ALPC-Basic-Client.cpp。下面出现的代码都来自参考链接中，非本人编写。文件CommandALPC.cpp。]]></description><category></category></item><item><title><![CDATA[通过windows cng api 实现rsa非对称加密]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/135167839</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/135167839</guid><author>pureman_mega</author><pubDate>Sat, 23 Dec 2023 14:22:10 +0800</pubDate><description><![CDATA[相对于aes等对称加密算法，rsa加密算法不可逆性更强。非对称加密在通常情况下，使用公钥对数据进行加密之后，如果没有私钥，基本是不可能实现解密的。在一些勒索程序中，非对称加密会经常出现；通过运行结果可以看出，调用系统cng api 每次生成的密钥对都不一样，这就很ok。（下文通过cng api演示rsa加密，不做原理性介绍）]]></description><category></category></item><item><title><![CDATA[在windows11上彻底关闭系统更新]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/134959731</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/134959731</guid><author>pureman_mega</author><pubDate>Tue, 12 Dec 2023 22:30:12 +0800</pubDate><description><![CDATA[步骤 1，定位到系统更新的关键程序文件，如下图中绿框中的4个文件，通常在c:\windows\system32目录下面，wuauclt.exe,wuaueng.dll,wuapihost.exe,wuapi.dll。系统更新是由具体的程序来完成的，可以通过修改（重命名或删除）该程序的文件，使得系统无法启动更新这个过程；步骤 2 ，以文件wuauclt.exe为例，选中该文件并右键，查看属性；步骤3，对wuauclt.exe进行重命名，会有弹框提示，如下图。如果上面都成功执行，7的确定会变亮，并点击确定。]]></description><category></category></item><item><title><![CDATA[Windows Management Instrumentation (WMI) 的使用---一些系统接口的替代者]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/134782018</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/134782018</guid><author>pureman_mega</author><pubDate>Mon, 04 Dec 2023 14:56:34 +0800</pubDate><description><![CDATA[之前在一些样本里面看到了类似于sql的字符串，一直不太清楚那些是做什么的。哪些语句是wql(大概就是windows系统自己的查询语句），通过执行这些特定的查询语句，可以获取或修改许多系统相关的信息。比如说查询系统中当前运行的进程，系统中服务信息等；之前这些操作一般通过系统底层的api(CreateService,OpenProcess等）来获取。用来做一些运行环境检查（虚拟机，杀毒软件等）。通过上面的截图可以看到，查询一个类(class)的信息，会有多个字段返回，就像sql里面的表(table)。]]></description><category></category></item><item><title><![CDATA[How to exploit a vulnerable windows driver]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/133176771</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/133176771</guid><author>pureman_mega</author><pubDate>Fri, 22 Sep 2023 16:52:22 +0800</pubDate><description><![CDATA[【代码】How to exploit a vulnerable windows driver。]]></description><category></category></item><item><title><![CDATA[c++ stl 之vector使用]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131527112</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131527112</guid><author>pureman_mega</author><pubDate>Tue, 04 Jul 2023 11:35:41 +0800</pubDate><description><![CDATA[C++ STL（标准模板库）是一套功能强大的 C++ 模板类，提供了通用的模板类和函数，这些模板类和函数可以实现多种流行和常用的算法和数据结构，如向量、链表、队列、栈。当然，向量中除了可以存放int类型的数据，其他的像char,DWORD,std::string或者自定义的结构体都是可以的。向量容器（一个 C++ 标准的模板），它与数组十分相似，唯一不同的是，向量在需要扩展大小的时候，会自动处理它自己的存储需求."]]></description><category></category></item><item><title><![CDATA[通过修改peb中的命令行参数字段实现进程创建的劫持]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131373206</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131373206</guid><author>pureman_mega</author><pubDate>Sun, 25 Jun 2023 11:15:46 +0800</pubDate><description><![CDATA[之前分析过的一些恶意软件中会使用这种方法来进行浏览器的主页劫持，其原理就是在进程创建回调函数中处理进程的创建消息。下面示例展示了如何修改命令行参数：以abcdefg.exe进程为例，其完整文件路径为："C:\Users\1909\Desktop\abcdefg.exe"；进修改后变为："C:\Users\1909\Desktop\abcdefg.exe"  -124，当然也可以变为："C:\Users\1909\Desktop\abcd.exe"  -124。]]></description><category></category></item><item><title><![CDATA[windows 导入表/导出表 hook]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131343734</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131343734</guid><author>pureman_mega</author><pubDate>Thu, 22 Jun 2023 19:44:10 +0800</pubDate><description><![CDATA[【代码】windows iat hook。]]></description><category></category></item><item><title><![CDATA[windows pe文件导入表隐藏]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131254503</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131254503</guid><author>pureman_mega</author><pubDate>Fri, 16 Jun 2023 22:38:35 +0800</pubDate><description><![CDATA[假如，需要使用CreateFileA,WriteFileA,CloseHandle等api，我们会通过GetProcAddress来获取其地址，然后保存到自定义的函数原型指针中。但是，这样就会导致每个函数都有一个单独的变量，无法统一管理；分析过一些文件，发现里面都会对引用的api进行动态获取，然后通过内存指针调用。细细想来，这种方法还是有一定的对抗作用的，如果别人想要分析的必须的稍微深入或者动态调试一下。1，动态获取函数地址，统一保存，通过下标（漂移来识别）2，调用时，对函数地址进行函数指针化，完成调用。]]></description><category></category></item><item><title><![CDATA[windows 反调试相关/peb 结构体]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131069938</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131069938</guid><author>pureman_mega</author><pubDate>Tue, 06 Jun 2023 16:04:00 +0800</pubDate><description><![CDATA[【代码】windows 反调试相关。]]></description><category></category></item><item><title><![CDATA[minhook探究]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/131047297</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/131047297</guid><author>pureman_mega</author><pubDate>Mon, 05 Jun 2023 16:02:33 +0800</pubDate><description><![CDATA[在接口的设计，hook的兼容性等方面，还是值得我们初学者解决的。熟悉inline hook的，在阅读了minhook的代码之后就会发现，它也是用的这种hook方法。紧接着是一个jmp指令，但是跳转的地址看起来有点不对，实际上是反汇编引擎解析有误，从源码中可以知道这里实际上是跳转到一个绝对地址（0xff,0x25,0x000000,0x7fff05fa4175)，也就是CreateFileA第二条指令开始的地方(0x7fff05fa4175)。总的来说还是好用的。]]></description><category></category></item><item><title><![CDATA[I/O完成端口(iocp）相关内容学习]]></title><link>https://blog.youkuaiyun.com/pureman_mega/article/details/130990244</link><guid>https://blog.youkuaiyun.com/pureman_mega/article/details/130990244</guid><author>pureman_mega</author><pubDate>Thu, 01 Jun 2023 17:05:57 +0800</pubDate><description><![CDATA[通过阅读微软的I/O完成端口介绍，可以大致了解该机制通常结合异步I/O解决多线程的高并发问题。1，通过CreateIoCompletionPort将文件句柄与端口进行关联，并设置处理异步I/O业务的线程数。2，创建线程，等待处理I/O业务。3，调用异步I/O接口。]]></description><category></category></item></channel></rss>