3.1.6 系统调用NtAllocateVirtualMemory()--2--结构体

zhyjhacker zhyjhacker 博客等级 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 300+累计阅读 299平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要 码龄17年
关注
原创 最新推荐文章于 2026-08-24 17:16:43 发布 299 阅读 AI 写同款· GEO 优化 ›
绕过EDR检测：基于直接系统调用的无DLL Shellcode加载技术详解 在Windows安全领域，端点检测与响应（EDR）系统通过监控API调用等用户层行为来识别威胁。其核心原理在于对动态链接库（DLL）中的关键函数进行挂钩（Hook），从而拦截和分析进程活动。为了突破这种监控，直接系统调用（Direct Syscall）技术应运而生，它通过精心构造汇编指令，直接请求内核服务，绕过了用户层的所有检测点，具有极高的隐蔽性价值。这项技术广泛应用于红队评估、恶意软件分析和系统底层研究等场景，是理解现代操作系统安全机制与局限性的关键。本文聚焦于如何利用Syscall实现无DLL的She 阅读详情

系列文章目录

文章目录

3.1.6 系统调用NtAllocateVirtualMemory()

全局变量的定义，

#define MEM_COMMIT           0x1000
#define MEM_RESERVE          0x2000
#define MEM_DECOMMIT         0x4000
#define MEM_RELEASE          0x8000
#define MEM_FREE            0x10000
#define MEM_PRIVATE         0x20000
#define MEM_MAPPED          0x40000
#define MEM_RESET           0x80000


#define STATUS_SUCCESS 0
收录于
WINDOWS内核情景分析

当前文章被收录于：

WINDOWS内核情景分析
56 篇文章 0 人学习
订阅专栏 查看详情
标签
#算法 #c语言 #c++
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
五种实战免杀Shellcode生成方法：从MSF编码到直接系统调用 在网络安全攻防领域，恶意代码检测与规避是核心对抗场景。杀毒软件和EDR系统通过静态特征码、启发式行为分析和内存扫描等多层防线识别威胁。为绕过检测，安全研究人员需深入理解系统调用、进程内存管理等底层原理。通过编码混淆、自定义加密等技术可对抗静态扫描，而分离加载、进程注入等策略则能规避行为分析。直接系统调用技术通过绕过用户态钩子，直接与内核交互，实现更高阶的隐蔽性。这些技术对于红队渗透测试和防御策略研究具有重要价值，能有效提升载荷在对抗环境中的生存能力。本文以Metasploit和Cobalt Strike为例 阅读详情

相关推荐

免杀手法 ---＞ 重写R3API 一些思路给你说说看

本文提出了一种绕过R3监控的隐蔽进程注入技术，通过直接调用NTDLL.DLL中的NativeAPI实现内存分配和线程创建。该技术采用动态加载方式获取NtAllocateVirtualMemory和NtCreateThreadEx函数地址，绕过对高层Windows API的监控。核心在于利用NtAllocateVirtualMemory分配可执行内存，并通过WriteProcessMemory写入Shellcode，最后用NtCreateThreadEx创建执行线程。相比传统注入方法，该技术具有更高的隐蔽性，

盾悟 9645

3.1.6 系统调用NtAllocateVirtualMemory()1

用户空间的虚拟存储区间是进程的财产，不同的进程有不同的用户空间，为进程A分配其用户空间的某个虚存区间，不等于进程B、进程C的用户空间中的同一区间也受到了分配。当然，所分配的仅限于用户空间，用户空间的程序是无法要求内核分配系统空间的。回到 NtAllocateVirtualMemory()的代码，如果用户并未指定区间的起始地址，即参数UBaseAddress为0，或者用户指定的地址尚未被分配，即在目标空间中找不到包含这个地址的已分配区间，那就要由内核为之分配一块大小合适的区间。

zhyjhacker的博客 1482

SAP财务凭证实战：如何用Coding Block快速添加客户化字段（附ABAP代码）

本文详细介绍了在SAP财务凭证中利用Coding Block技术快速添加客户化字段的完整流程，包括技术架构解析、实战配置步骤（OBC4/OB41）及ABAP增强开发。通过案例演示如何高效扩展字段（如增长曲线类型），实现全流程集成且无需修改数据表，显著提升财务凭证的灵活性和可追溯性。

weixin_29271263的博客 227

NT函数学习（一）——NtAllocateVirtualMemory与NtProtectVirtualMemory

今天来学习一下Windows操作系统中的两个NT系统调用函数，NtAllocateVirtual和NtProtectVirtualMemory。

2301_76502660的博客 1584

XGBoost的简单安装及入门使用

XGBoost安装及简单入门 XGBoost支持多种操作系统，如Windows, Linux， MacOS等，并支持多种语言版本，如Python, R, Scale, Java等。XGBoost的安装方式一般有两种，一种是直接通过pip安装（适合用于Python），另外一种是通过源码编译安装 1、通过pip安装 通过pip安装Python包既简单又方便，只需执行如下的命令： pip install -i https://pypi.tuna.tsinghua.edu.cn/simple xgboost 使用

qq_41513230的博客 3万+

Vue项目实战：5分钟搞定高德地图离线部署（附避坑指南）

本文详细介绍了在Vue项目中实现高德地图离线部署的完整方案。针对内网或网络隔离环境，通过获取并改造JSAPI文件、下载组织地图瓦片数据，并集成vue-amap组件，实现地图功能的本地化运行。文中提供了核心代码、避坑指南及性能优化建议，帮助开发者快速构建稳定可靠的离线地图应用。

data3的博客 935

搭建windows内核调试、malloc执行流程、线程数据结构、进程数据结构

首先安装VMware虚拟机 在VMware中安装windowsXP系统安装玩之后然后打开c盘然后通过工具中的文件选项中查看页签里的高级设置吧后缀与隐藏的文件都显示出来，然后打开boot.ini文件，然后把下面的文字复制到boot.ini中把原来的内容覆盖掉。 [boot loader] timeout=30 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] multi(0)disk(0)rdisk(0)partit

计算机王的博客 1712

信息奥赛课课通（C++）p154-1近似排序

试题描述 读入一对正整数，将这两个数之间(包括这两个数本身)的所有数按下述特别规则排序后输出，该特别规则是按两数倒过来的值进行比较决定其大小，如30倒过来为3,29倒过来为92，则29大于30. 输入要求 1行，包含两个用空格隔开的自然数，这两个自然数给出了待排序数的范围，其中1≤第一个数≤第二个数≤999999999，两个数之差不超过100. 输出要求 输出排序后的数据，每行输出...

mengdicfm的博客 7283

VirtualAllocAPi逆向笔记

Windows API逆向

qq_43147121的博客 1527

【软碟通 | UltraISO】刻录光盘教程（制作U盘启动盘）

前言 今天老师说办公室的电脑有点卡，让我给重新安装一个 Windows 7 系统。于是就用软碟通（UltraISO）在 U 盘上刻录了一个 Windows 7 镜像，然后给老师重装了系统。顺便把制作 U 盘启动盘的教程也分享给大家。 软件 UltraISO v9.7.1.3519：点击跳转（密码：dd2k） 教程 将 U 盘插到电脑上，然后鼠标右击选择格式化（制作启动盘必须格式化） 点击文件-打开 选择下载好的系统镜像（如：Windows 7） 点击启动-写入硬盘映像 选择硬盘

XavierJ的博客 2万+

《QGIS快速入门与应用基础》021：插件仓库 URL 获取与添加

详细介绍了在QGIS中添加第三方插件仓库的方法。首先强调必须从官方推荐、开源社区等可靠渠道获取插件仓库URL以确保安全性，并列出了4类可信获取渠道。文章分步骤讲解了URL添加流程，包括打开插件管理器设置面板、填写仓库信息、刷新缓存验证等操作。针对常见问题如URL格式错误、连接失败等提供了具体解决方案。最后总结指出，成功添加第三方仓库后即可直接搜索安装各类专业插件，从而扩展QGIS功能边界。全文注重实操指导，特别适合需要安装行业专用插件的QGIS用户参考。

LuckyHanMo的博客 465

一文读懂远程线程注入

在红队行动中，红队的目的都是要在不暴露自身行动的前提下，向蓝队发动攻击。他们使用各种技术和程序来隐藏C2连接和数据流。攻击活动的第一步是获得初始访问权。他们会使用定制的恶意软件和有效载荷来躲避防杀软和EDR等防御工具。本文涉及知识点实操练习：[DLL注入型病毒实验](https://www.hetianlab.com/expc.do?wemedia)（通过实验了解DLL注入型病毒的攻击过程）进程注入是用来逃避防御机制的重要技术之一。

2201_75571291的博客 735

Allegro DXF板框导入及将元器件精准放置到特定位置操作

DXF板框导入 选择File-> import -> DXF 点开DXF file 查找文件 3. 选择需要导入的DXF文件 4. 通常结构文件使用的是米制单位，将单位选择为mm，如果不确定DXF 图纸坐标大小，建议勾选incremental addition,软件根据实际DXF图纸大小自动调整背景坐标尺寸以适应DXF图纸 5.打开Edit/View layers 6. 勾选 select all，选择DXF文件所有层；class 一栏选择BOARD GEOMETRY；subcla

sinat_15677011的博客 1万+

深入理解inline_syscall的哈希函数：如何高效映射系统调用名称

inline_syscall是一个专为Windows平台设计的C++库，它通过巧妙的哈希函数技术实现了系统调用的直接映射。这个轻量级库的核心优势在于能够生成高度优化的内联系统调用指令，同时避免传统API调用带来的性能开销和潜在的安全风险。对于需要高性能和反检测能力的开发者来说，理解其哈希函数的工作原理至关重要。 ## 🔍 哈希函数：系统调用映射的基石 在inline_syscall库中，哈希

gitblog_00771的博客 655

Android HAL 架构详解，底层开发不再难

HAL Binder 这套机制牛在哪？性能：一次拷贝，快如闪电。规范：HIDL 让接口定义整齐划一，维护省心。兼容：版本管理做得好，新老设备都能跑。有了这套通信体系，HAL 就像打了通脉，上下贯通，硬件操作变得丝滑无比。通信机制搭好了桥，接下来 HAL 得真正把手伸到硬件上。这部分是 HAL 的 “最后一公里”，直接决定硬件能不能被用起来。HAL 的接口定义是整个体系的灵魂，它决定了上层和底层怎么 “说话”。

大模型大数据攻城狮的专栏 1673

efm32 入门.pdf

本PDF共计22页，介绍的是操作驱动API，下载与否自己斟酌。

WinVisor 开发者指南：如何为任意 Nt* 系统调用编写 Hook 的完整教程

**WinVisor** 是一个基于 **Windows Hypervisor Platform（WHP）API** 构建的 Windows x64 用户态可执行文件**虚拟化模拟器（Hypervisor 模拟器）**。它把目标进程注入到一个虚拟 CPU 中运行，所有 `Nt*` **系统调用（Syscall）** 都会经过宿主的代理层。这个"必经之路"正是我们做 Hook 的切入点——本教程将带

gitblog_00716的博客 287

OV9734 DATASHEET，完整规格书

OV9734完整规格书，包括电气参数，尺寸规格，寄存器配置表等

Nimcrypt2扩展开发：自定义系统调用随机化与内存保护技巧

Nimcrypt2是一款强大的开源工具，专门用于.NET、PE文件和原始Shellcode的打包与加载。本文将深入探讨如何通过扩展开发实现自定义系统调用随机化与内存保护，为安全研究者和开发者提供实用的进阶技巧。 ## 系统调用随机化基础：为什么它至关重要？ 系统调用是操作系统内核提供的核心接口，也是恶意软件检测的重要目标。传统静态系统调用识别方法依赖固定的系统调用号或函数名，容易被安全软件拦截

gitblog_00429的博客 293

LinePhone3.2.7(android端最新版本) sip客户端

SIP客户端For android：LinePhone3.2.7(最新版本)，官网地址：http://www.linphone.org/

大中型超市收银系统(可直接运行)

光步前台收银系统系统功能：商品销售、商品退货、挂单、收银员权限、会员销售、单品取消、整单取消、商品查询、脱机销售、脱机数据上传，基本资料下载，开钱箱、小票打印、收款结算，支持多币种付款方式（现金、储值卡、礼券、微信等）,支持多种促销。运行环境：.net 4.0登陆信息用户名:1001 密码:123456内置商品信息，商品编码可输入00001000 - 00010000,测试效果相关功能键F5 结算 F9挂单 F11商品查询 F8退货 Insert单品取消 Del整单取消 F12开钱箱F2 会员 Ctrl+Z退出系统 Home 锁屏 相关源码待公开

Nimcrypt2原理解析：动态系统调用存根与NimlineWhispers2如何实现反检测

Nimcrypt2是一个强大的PE文件、Shellcode和.NET程序加载器，专为绕过AV/EDR检测而设计。这个基于Nim语言开发的开源工具采用了动态系统调用存根和NimlineWhispers2技术，实现了高效的反检测功能。本文将深入解析Nimcrypt2的核心工作原理，特别是其动态系统调用存根机制与NimlineWhispers2技术的完美结合。 ## 🔍 Nimcrypt2：新一代反

gitblog_00890的博客 322

inline_syscall 生成的汇编代码深度解析：如何实现极致优化的系统调用 [特殊字符]

inline_syscall 是一个专为 Windows 平台 Clang 编译器设计的头文件库，它能够生成直接、可内联的系统调用指令，实现极致优化的系统调用性能。对于追求高性能的系统编程和逆向工程爱好者来说，这个库提供了绕过传统 API 调用的高效解决方案。 ## 什么是 inline_syscall？ 🤔 inline_syscall 是一个轻量级的 C++ 头文件库，它允许开发者直接调

gitblog_00909的博客 1089

WinVisor系统调用拦截完全指南：假LSTAR地址触发VM Exit捕获SYSCALL的终极技巧

**WinVisor** 是一个基于 Windows Hypervisor Platform（WHP）API 的轻量级虚拟化工具，它把目标 x64 程序放进虚拟 CPU 中运行，并通过「假 LSTAR 地址」这一终极技巧，让每一条 SYSCALL 指令都触发 **VM Exit**，从而被宿主机逐个捕获、记录甚至挂钩。本指南面向新手，带你快速理解这套系统调用拦截原理，并动手跑起来。 [![Win

gitblog_00544的博客 709

GolangBypassAV进阶：系统调用与敏感API脱钩技术应用

GolangBypassAV是一个专注于研究利用Golang各种姿势绕过杀毒软件（AV）的开源项目。本文将深入探讨系统调用与敏感API脱钩技术在GolangBypassAV中的应用，帮助安全研究人员和开发者了解如何通过这些高级技术提升程序的反检测能力。 ## 为什么需要系统调用与敏感API脱钩技术？ 在现代安全防护体系中，杀毒软件和EDR（端点检测与响应）工具通常会监控程序对敏感API的调用，

gitblog_00189的博客 295

mm学习笔记_05：虚拟内存核心与系统调用

本文分析了ReactOS内核中虚拟内存管理的核心实现，主要聚焦于virtual.c文件及其关键系统调用。文章详细剖析了NtAllocateVirtualMemory和NtFreeVirtualMemory两个核心函数的执行流程：前者包括参数验证、进程获取、MEM_RESERVE分支（VAD分配与插入）和MEM_COMMIT分支（地址空间锁定与PTE操作）；后者则处理四种内存释放情况（完整VAD释放、头部/尾部部分释放和中间部分释放）。实现涉及配额计费、VAD管理、页表操作等底层机制，展示了Windows内核

大坡3D软件开发 298

inline_syscall：Windows平台Clang下轻松实现内联系统调用的终极指南

inline_syscall是一个Windows平台下基于Clang编译器的轻量级头文件库，它允许开发者以优化、内联且简单易用的方式生成直接系统调用指令。无论是进行代码混淆还是避免钩子检测，这个工具都能为你的项目带来显著优势。 ## 🌟 为什么选择inline_syscall？ 在Windows系统开发中，系统调用是与内核交互的关键方式。传统方法往往存在性能损耗或容易被检测的问题，而inli

gitblog_00872的博客 371

Windows系统调用混淆与反钩子：inline_syscall的高级应用技巧

在Windows安全开发领域，系统调用混淆和反钩子技术是保护应用程序免受恶意软件分析和攻击的关键手段。inline_syscall是一个专为Windows平台设计的头文件库，它让开发者能够轻松生成直接的系统调用指令，实现高效的系统调用混淆和反钩子功能。🎯 ## 什么是inline_syscall？ inline_syscall是一个仅包含头文件的C++库，专门为Windows系统上的Clan

gitblog_00485的博客 763

Freeze.rs核心技术解密：从挂起进程到直接系统调用的完整实现

Freeze.rs是一个基于Rust编写的payload工具包，通过挂起进程和直接系统调用技术实现EDR（端点检测与响应）绕过。本文将深入解析其核心技术原理，展示如何通过这些高级技术规避现代安全防护机制。 ## 🚀 为什么选择Freeze.rs？EDR绕过的终极解决方案 在当今高级威胁防护体系中，EDR已成为企业安全的重要防线。传统的恶意代码执行方法很容易被EDR通过API监控、行为分析等手

gitblog_00903的博客 442

从零开始理解Syscall Monitor架构：QT GUI与内核驱动完美结合

Syscall Monitor是一款基于Intel VT-X/EPT技术的Windows系统监控工具，它像Sysinternal的Process Monitor一样强大，但采用了更先进的虚拟化技术来实现系统调用监控。本文将带你深入理解Syscall Monitor的架构设计，特别是QT GUI与内核驱动如何完美结合，为新手和普通用户提供完整的架构解析指南。 ## 🎯 Syscall Monit

gitblog_00354的博客 707
上一篇： 3.1.6 系统调用NtAllocateVirtualMemory()1
下一篇： 3.2 页面异常-1
点赞 1
评论 0
书签 书签 0
zhyjhacker
zhyjhacker
博客等级 码龄17年 3203粉丝 406原创
+ 关注 专栏目录 订阅专栏
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值