zzmzzff的博客

Windows下杀进程22种方法：'1.结束进程 (参数：进程ID)Sub KillProcess(ByVal dwProcessId As Long) SetDebug '提权 Dim hProcess As Long '方法1，使用普通API hProcess = OpenProcess(PROCESS_TE...

Android有一个权限叫读取已安装应用列表，貌似不是原生权限，禁用后，应用就读不到系统的应用列表，只能读到它自己。实测发现，这个权限形同虚设，利用该漏洞可以绕过读取应用列表权限获取所有应用，目前发现共有三种方法能读取到全部或部分应用列表，该bug截止目前未修补。方法一：getPackageManager().queryIntent* 这种方法可以获取部分应用，在某些手机上无效。方法...

链接：https://pan.baidu.com/s/1A-J7KDYBpPcNiWwkQmZzag提取码：ylwzDE设备管理是一个管理手机的工具，它主要有以下功能：1.应用管理：管理所有安装的应用，能够隐藏任意应用，禁用任何应用，以及防止某个应用被卸载，限制系统功能等。2.组件禁用：它还能够对应用的某个组件进行禁用，比如禁止一个应用打开某个界面，但该功能需要root权限，除此...

上次讲了下进程保护原理，这次讲一下进程监控。监视进程创建，也就是监视EXE程序启动，就要hook掉创建进程的API，创建进程的API有ntdll!ZwCreateProcessEx、ZwCreateSection、ZwCreateThread等，kernel32里有CreateProcessA(W)和CreateProcessInternalA(W)，hook ZW函数比较麻烦，因为那时进...

最近测试发现，FAT32分区下正在运行的EXE程序能够被正常删除，但是无法删除正在使用中的文件。正在运行是指定文件模块已加载到内存，通常是EXE或DLL，而正在使用是指文件句柄被其它进程打开或占用，这类文件通常是文档，例如TXT，确切地说两者是有区别的。不过，即使是正在使用的文件也能通过改写FAT（文件分配表）来强制删除，这个在此暂且不谈。漏洞测试方法：首先选择一个FAT32的分区，硬盘或U盘都可...

    NTFS数据流（ADS，Alternate Data Streams，附加数据流）通常用于保存文件额外信息，例如文件属性中的摘要信息就是以流的形式存储的。每个文件默认都有一个没有名字的主流，然后它还可以有其它若干附加流，这些流都为$Data属性，也就是数据属性，用WinHex查看一个文件的MFT，如果含有两个以上0x80属性，说明该文件存在附加流。主流是没有名字的，但附加流都有属性名，附加...

数据恢复是一门比较有用的技术，尤其是当硬盘、U盘、手机存储卡等发生数据丢失时，如何找回丢失的文件和数据则成为最关键的问题。能否找回数据不仅和存储介质有关，而且和操作系统以及介质所在的文件系统有很大的关系，基本上，分区表及文件系统（File System，简称FS）是决定数据能否找回的关键，因为它决定了数据存储的逻辑结构，一旦FS被破坏，即便物理上数据依然存在，可因为数据已经失去完整性和连续性，所以...

近几年杀毒软件泛滥，很多人不知道该如何选择合适的杀毒软件，也许杀毒软件并非是必需的，但这不是今天要谈论的话题，今天要谈的是杀毒软件究竟是个什么东西，它到底是如何杀死病毒的，也许当你了解了它的工作原理和运行模式，你也许对病毒也会有所认识，不再感到畏惧。 杀毒软件(Anti Virus)，也称反病毒软件，以下可简称AV软件，是一种保护用户的数据和信息的一套安...