<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[wangmin1944的专栏]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/wangmin1944</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; wangmin1944]]></copyright><item><title><![CDATA[内核文件读写操作--非MiniFilter模式]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/145467687</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/145467687</guid><author>wangmin1944</author><pubDate>Thu, 06 Feb 2025 10:36:02 +0800</pubDate><description><![CDATA[日常驱动开发中文件读写操作十分频繁，经常写不少重复的轮子，这里把生产环境稳定的文件读写操作模版发出来，方便有需要的同学不必重复造轮子。注意，我这里驱动开发使用的是C++17或者更高，所以大部分都是c++代码或者Template模板代码，需要设置c++编译环境才能使用。]]></description><category></category></item><item><title><![CDATA[内核函数IoGetTopLevelIrp的说明]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/145466406</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/145466406</guid><author>wangmin1944</author><pubDate>Thu, 06 Feb 2025 09:59:56 +0800</pubDate><description><![CDATA[IoGetTopLevelIrp 驱动开发 内核]]></description><category></category></item><item><title><![CDATA[记录一个特别的蓝屏 0x1000007f]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/145440739</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/145440739</guid><author>wangmin1944</author><pubDate>Tue, 04 Feb 2025 15:31:22 +0800</pubDate><description><![CDATA[UNEXPECTED_KERNEL_MODE_TRAP_M (1000007f)  蓝屏，分页故障]]></description><category></category></item><item><title><![CDATA[常用工具函数记录--字符串Hash]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/145440645</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/145440645</guid><author>wangmin1944</author><pubDate>Tue, 04 Feb 2025 14:57:21 +0800</pubDate><description><![CDATA[这是一个基于FNV-1A（Fowler-Noll-Bagley）的哈希函数，适用于字符串哈希计算，效率非常高。在很多场景会用到，例如：主动防御软件在对白名单路径文件的放行检查等。]]></description><category></category></item><item><title><![CDATA[常用工具函数记录--字符串转换]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/145440507</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/145440507</guid><author>wangmin1944</author><pubDate>Tue, 04 Feb 2025 14:53:12 +0800</pubDate><description><![CDATA[字符串转换，字符串分割，UNICODE/UTF8/ANSI转换]]></description><category></category></item><item><title><![CDATA[游戏防盗号--“水与火”的概述]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/131375657</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/131375657</guid><author>wangmin1944</author><pubDate>Sun, 25 Jun 2023 13:45:46 +0800</pubDate><description><![CDATA[游戏防盗号 反外挂 游戏保护]]></description><category></category></item><item><title><![CDATA[常用工具函数记录--进程操作]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/131301991</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/131301991</guid><author>wangmin1944</author><pubDate>Tue, 20 Jun 2023 10:50:55 +0800</pubDate><description><![CDATA[2. 根据进程名获取PID（注意：对于同名多进程需要额外处理）5. 复制指定PID进程的Token句柄。4. 根据进程名挂起与恢复进程。1. 根据PID查杀进程。3.根据PID获取进程名。]]></description><category></category></item><item><title><![CDATA[常用工具函数记录---(Kernel) PID-HANDLE-EPROCESS-PATH 转换]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/131289347</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/131289347</guid><author>wangmin1944</author><pubDate>Mon, 19 Jun 2023 15:48:56 +0800</pubDate><description><![CDATA[在内核中根据进程的pid、句柄、eprocess等进行相互获取转换]]></description><category></category></item><item><title><![CDATA[Windows动态沙箱实现--进程回调监控]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/131282961</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/131282961</guid><author>wangmin1944</author><pubDate>Mon, 19 Jun 2023 11:10:30 +0800</pubDate><description><![CDATA[下面是我们的回调代码实现，核心功能是获取当前创建的进程PID、全路径、命令行、父进程PID、父进程全路径信息。需要注意的是，这里获取的父进程信息有可能是假的，最常见的就是启动服务、shellcode注入启动或者借助UpdateProcThreadAttribute伪造父进程启动。这类的伪装，我们需要在后续的InfinityHook里实现发现并进行关联标注。前面讨论了沙箱的目标，今天开始落实代码实现，从功能实现的先后顺序上，我们优先实现4个回调：进程回调、镜像回调、线程回调、注册表回调，今天实现进程回调。]]></description><category></category></item><item><title><![CDATA[Windows动态沙箱实现--目标讨论]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/131252433</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/131252433</guid><author>wangmin1944</author><pubDate>Fri, 16 Jun 2023 19:36:47 +0800</pubDate><description><![CDATA[由于工作的需要，在平常经常会遇到这么一个情景“有一个软件，运行过程中不知道进行了什么网络连接、下载释放了什么文件，加载了什么驱动与dll、向哪个进程注入了什么shellcode、读取了哪个进程的什么内存、随后又远程启动了哪些最终干活的线程，导致了广告、图标、盗号等现象的出现”。2.通过WFP网络引擎捕获“进程-线程-DNS解析/目标IP清单” + “进程-线程-HTTP-GET/POST完整路径” + “进程-线程-TCP/UDP-本机IP:PORT/远端IP:PORT”;]]></description><category></category></item><item><title><![CDATA[常用工具函数记录---HEX字符串转为内存HEX]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/122782079</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/122782079</guid><author>wangmin1944</author><pubDate>Fri, 04 Feb 2022 12:00:56 +0800</pubDate><description><![CDATA[在一些特殊的场景下我们往往会用到一些将字面hex转换为内存模式的功能，这类需求往往是比较特殊的，但是在一些特异的场景下往往有需要用到，这里记录一下完整的工具函数与使用范例。

本文的代码编写环境为VS 2022，GCC版本8.3，系统环境windows 10/Ubuntu 18.04/Ubuntu 20/Debian 10/Centos 8，直接拿走的朋友记得自己添加相关的入参与返回校验。


//C 风格版本
int C2Hex(char input)
{
	if (inp...]]></description><category></category></item><item><title><![CDATA[本专栏说明]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/122770976</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/122770976</guid><author>wangmin1944</author><pubDate>Wed, 02 Feb 2022 17:56:21 +0800</pubDate><description><![CDATA[写了好多年的代码，一直没写过博客，新年伊始，决定慢慢的把一些大家都能到的工具函数、工程项目、技术攻关的东西都总结一下，发出来帮助后面需要的人，希望对大家能有一定的帮助。
]]></description><category></category></item><item><title><![CDATA[常用工具函数记录---xor 异或加解密]]></title><link>https://blog.youkuaiyun.com/wangmin1944/article/details/122770912</link><guid>https://blog.youkuaiyun.com/wangmin1944/article/details/122770912</guid><author>wangmin1944</author><pubDate>Wed, 02 Feb 2022 17:53:01 +0800</pubDate><description><![CDATA[c/c++ 异或加解密工具函数]]></description><category></category></item></channel></rss>