运行程序 32位ida打开,shift+f12查看运行时的中文,这里双击flag get字符串进入rdata段 双击后面的函数,进入text段,小的窗口视图里可以看见汇编代码调用函数的句子 右边的即是鼠标滑到函数上面出现的小窗口 tab键查看伪代码,v8是我们输入的,v4是需要相比较的,flag get最后的输出和v4有关 观看通篇代码寻找可疑的点,或者叫做关键的地方 双击打开v4,发现 ①在堆里的数据字符串变量名叫xmmword,那么v4是程序运行时加载进去的 ②返回两个寄存器地址,那么猜测x

#!/usr/bin/env python #Filename: Xor_QWORD_x64.py #coding=utf-8 import re import sys import random import struct class QWORDXorEncoder: def __init__(self): self.name = "x64 QWORD Xor Encoder" self.description = "x64 QWORD Xor shellcode enco

说实话,今天被自己蠢哭了 因为看多了一个字符,以为是输入字符变形后的base64编码,也怪自己没大致看过base64汇编形式,把base64跟完了用py实现完算法才意思到是base64,这是题外话 本人初学者,两天或一天一个cm练练,大家可以与我交流akkumans@qq.com,我博客 上面的题外话就是今天搞的一个cm,被自己蠢哭了,不过也算是base64编码流程无比清晰了,不算是无用功 这个cm是一个控制台的,丢到xp无法运行,本机只装了x64dbg(x32dbg),用这个调试软件来试试吧

下面以ntdll32!ZwQueryInformationProcess API为例分析 x86代码与x64代码之间的切换过程, 32bit的test程序: step1: ntdll32!ZwQueryInformationProcess:775bfb18 b816000000      mov     eax,16h775bfb1d 33c9            xor     ecx,ecx775bfb1f 8d542404        lea     edx,[esp+4]775bfb

看到一篇文章,是介绍nasm语法的:http://blog.csdn.net/hitop0609/article/details/4329454 masm是微软专门为windows下汇编而写的,而nasm可以在windows.linux等系统下汇编,故而个人推荐使用nasm. 3.1 nasm 是区分大小写 例如:符号 foo 与 FOO 是两个不同的标识符. 3.2 内存操作数表达式 3.2.1 在 nasm 语法里,对 memory 操作数需要加 [ ] 括号 下面的代码: foo equ

一.前言 2018年元旦,出现的cpu的漏洞,可以在windows环三直接读取内核数据,windows对该漏洞提供补丁,补丁增加了一个页表,对应的内核处理也增加了,接下来我们看下补丁修复的表象以及对KeServiceDescriptorTable获取的变更. 可参考https://bbs.kafan.cn/thread-2112833-1-1.html 二.补丁修复 采用的应该是类似LINUX下的KAISER技术,采用shadow 页表技术,R3,R0用不同的页表,内核地址在R3中只有极少数被映

首先选择一个带界面的程序explorer.exe进行附加 kd> !process explorer.exe PROCESS ffff86893dd075c0 SessionId: Cid: 0d48 Peb: 00d50000 ParentCid: 0d30 DirBase: 42d9a000 ObjectTable: ffffe28598bb1800 HandleCount: . Image: explorer.exe 读取msr = 0xC0000082的值 kd> .process f

俗话说,工欲善其事,必先利其器,在二进制安全的学习中,使用工具尤为重要,而IDA又是玩二进制的神器,以前在使用IDA的时候,只是用几个比较常用的功能,对于IDA的其他功能没有去研究,于是本着学习的精神,参考着<IDA pro权威指南>(第二版),写下这篇文章,记录自己的学习心得,下面的记录都是在Windows平台下的IDA pro7.0进行的 一些二进制工具 在<IDA pro权威指南>的开篇一两章中,先是介绍了几款常用于二进制研究的工具,我这里简单的记了几个,介绍一波: C++f

WOW64(Windows-On-Windows 64bit)是X64 Windows操作系统的一个子系统,为32位应用程序提供运行环境.类似的还有WOW32子系统,负责在32位Windows系统上运行16位应用程序. WoW64存在的原因还要从CPU的发展上开始说,X86指令集是一个指令集架构家族,最初在Intel 8086处理器中引入,开始它主要用于16位系统.从Intel 386处理器发布开始升级为32位,并且32位指令集一直保持了很久.了解32位系统的都知道32位CPU将内存空间限制到了

一.什么是nasm汇编 nasm使用在windows.linux等系统下的汇编. 二.语法介绍 2.1 nasm 是区分大小写 例如:符号 foo 与 FOO 是两个不同的标识符. 2.2 内存操作数表达式 2.2.1 在 nasm 语法里,对 memory 操作数需要加 [ ] 括号 下面的代码: foo equ 1 bar dw 2 bits 32 mov eax, foo mov ebx, bar 第 2 指令的意图是:将bar 内的值赋给ebx 寄存器.但这样是错误的,nasm 只会把 

解题过程 将题目给出的exe文件拖入ida中,查看main函数. 分析函数的逻辑,发现用户需要输出一个字符串,存储到变量v9中.如果v9的值与v5的值相等则会打印unk_413e90中的值,否则打印aFlag_0的值. 查看两个输出的值: 可以看到如果输入正确的话会打印flag get,这说明flag存储在v5中. 查看v5的值,发现没有值: 仔细查看main函数发现第10行有一个存储操作,将一个变量的值存储到了v5中.v5的值是在main函数执行过程中才被传入的,因此之前找不到值就可以理解了.

很久没有写过 .NET Core 相关的文章了,目前关店在家休息所以有些时间写一篇新的

转载请声明出处哦~,本篇文章发布于luozhiyun的博客:https://www.luozhiyun.com 本文使用的go的源码15.7 介绍 Go 语言的内存分配器就借鉴了 TCMalloc 的设计实现高速的内存分配,它的核心理念是使用多级缓存将对象根据大小分类,并按照类别实施不同的分配策略.TCMalloc 相关的信息可以看这里:http://goog-perftools.sourceforge.net/doc/tcmalloc.html. 即如果要分配的对象是个小对象(<= 32k),

楔子 有小伙伴被面试官问到这个问题,本篇彻底解析下这个问题. 为了彻底点,注意本篇是最底层的.Net 7 RC CLR运行模型(汇编)为基础进行全局剖析,局部业务分析. 如有疏漏,请斧正. 目的非手段 这两个函数比较特殊的存在,.Ctor是非静态默认实例化..CCtor是静态默认实例化.这两个函数伴随着.Net 任何对象的实例化都自动存在于这个对象当中. 跟踪.CCtor可以在全局静态对象下断点,观察它的里面运行. 跟踪.Ctor可以通过!name2ee 模块 模块.类名..Ctor找到JITT

2014.10.06 更新 编写了 IDA Pro 的插件,用来解包和打包 mkbundle程序,请参见 https://github.com/binsys/MKBundleManager 许久以后,这个续上这个系列的第三篇. 玩过mono的可能知道mono有一个工具mkbundle ,可以把mono的运行时与类库与你的程序的依赖程序集都打包成一个可执行文件,在win下为exe文件,例如mandroid.exe,mtouch.exe,在mac下的Mach-O文件,例如mtouch,mtouch-

大多数的函数是在库中,Intrinsic Function却内嵌在编译器中(built in to the compiler). 1. Intrinsic Function Intrinsic Function作为内联函数,直接在调用的地方插入代码,即避免了函数调用的额外开销,又能够使用比较高效的机器指令对该函数进行优化.优化器(Optimizer)内置的一些Intrinsic Function行为信息,可以对Intrinsic进行一些不适用于内联汇编的优化,所以通常来说Intrinsic Fu

3.5.2动态链接库的创建 3.5.2.1动态链接库的创建流程 动态链接库的创建流程如下图所示: 在系统设计阶段,主要的设计内容包括:类结构的设计以及功能类之间的关系,动态链接库的接口.在动态链接库中,包含两类函数:一类是内部函数,一类是外部函数.内部函数只能在动态链接库的内部使用,不能被动态链接库以外的模块调用:外部函数是该动态链接库的接口,可以被外部模块调用. 为了使外部函数能够被系统外的模块调用,在进行C++代码编写的时候,必须对外部函数执行导出.导出的级别有两种:函数级别的导出和类级别的

2.1概述 在windows操作系统下,可执行文件的存储格式是PE格式:在Linux操作系统下,可执行文件的存储格式的WLF格式.它们都是COFF格式文件的变种,都是从COFF格式的文件演化而来的. 在windows平台下,目标文件(.obj),静态库文件(.lib)使用COFF格式存储:而可执行文件(.exe),动态链接库文件(.dll)使用PE格式存储.静态库文件其实就是一堆目标文件的集合. 在“WinNT.h”头文件中定义了COFF格式文件,以及PE格式文件的数据结构.这些定义是一系列的结

4常量的内存分配 4.1应用程序的内存结构 一个由C++编译的应用程序,占用的内存可以划分为如下几个部分: 栈(stack).由编译器自动分配释放.存放函数参数和函数里的局部变量(又称自动变量).其操作方式类似于数据结构中的栈.例如,声明在函数中一个局部变量int x; 系统自动在栈中为x分配一块空间,该空间存储x的值. 堆(heap).用于动态内存空间分配.一般由程序员进行分配和释放,若程序员不释放,程序结束时可能由操作系统回收.注意它与数据结构中的堆是两回事,分配方式类似于链表.内存分配在C

微软为Win10命令行(Command Prompt)加入了Ctrl + V的支持 Win10新增功能快捷键大全: 贴靠窗口:Win + 左/右 >  Win + 上/下 > 窗口可以变为 1/4 大小放置在屏幕 4 个角落. 切换窗口:Alt + Tab(不是新的,但任务切换界面改进). 任务视图:Win + Tab(松开键盘界面不会消失). 创建新的虚拟桌面:Win + Ctrl + D. 关闭当前虚拟桌面:Win + Ctrl + F4. 切换虚拟桌面:Win + Ctrl + 左/右.

0x0.序 解析过程并没有介绍对pe结构的相关解析过程,网上此类相关资料很多可自行查阅,本文只介绍了网上资料较少的从pe结构的可选头中的数据目录表中获取dotnet目录的rva和size,到完全解析dotnet文件格式特有数据结构的部分. 了解dotnet文件格式你可能需要一款名为CFF Explorer的工具:你也可能在很多时候需要查阅书籍<Expert .NET 2.0 IL Assembler>,该书籍的中文版本名为<.NET探秘MSIL权威指南>.简要的文件格式图,可以参考