PPLBlade是一款功能强大的受保护进程转储工具，该工具支持混淆内存转储，且可以在远程工作站上传输数据，因此不需要触及磁盘。
我们可以通过ring3的段寄存器. 当作GDT表的下标.进行查表. 查询GDT表.
CR3是一种控制寄存器，它是CPU中的一个专用寄存器，用于存储当前进程的页目录表的物理地址。在x86体系结构中，虚拟地址的翻译过程需要借助页表来完成。页表是由页目录表和页表组成的，页目录表存储了页表的物理地址，而页表存储了实际的物理页框地址。因此，页目录表的物理地址是虚拟地址翻译的关键之一。
AntiSpy是一款完全免费，并且功能强大的手工杀毒辅助工具。它可以枚举系统中隐藏至深的进程、文件、网络连接、内核对象等，并且也可以检测用户态、内核态各种钩子。在它的帮助下，我们可以轻松删除各种顽固病毒、木马、Rootkit，还我们一片干净舒适的上网环境。
介绍 本文是介绍恶意软件的持久性及传播性技术这一系列的第一次迭代，这些技术中大部分是研究人员几年前发现并披露的，在此介绍的目的是建立这些技术和取证方面的知识框架。 用于证明概念的代码可以在CERT的G
从 Linux 内核 2.6.25 开始，CGroup 支持对进程内存的隔离和限制，这也是 Docker 等容器技术的底层支撑。
lsass是windows中处理本地安全和登录策略的重要进程，几乎所有的windows身份认证程序都离不开lsass进程。因此在lsass的内存中会保存用户相关的凭证。它是windows主机中认证的重要组成部分，因此获取lsass内存也是MITRE ATT&CK框架中Credential Access战术下的重要技术点。
为了实现每个进程都有一个私有的虚拟地址空间系统为每个进程都创建了一个页目录和一组页表
在Windows操作系统中，每个进程的虚拟地址空间都被划分为若干内存块，每个内存块都具有一些属性，如内存大小、保护模式、类型等。这些属性可以通过VirtualQueryEx函数查询得到。
在上面的示例代码中，我们展示了三种加密方法的实现示例，每种加密方法用于加密解密以及数据伪造的检测。 你可以使用“图 5.6-1”，“图 5.6-2”，根据你的应用粗略选择使用哪种加密方法。 另一方面，加密方法的更加精细的选择，需要更详细地比较各种方法的特征。 在下面我们考虑一些这样的比较。
我们一般通过两个工具 pmap 还有 jcmd 中的 VM.native_memory 命令去查看 Java 进程内存占用，由于 pmap 命令有点复杂而且很多内存映射是 anon 的，这里采用 jcmd 中的 VM.native_memory 命令，去看一下 JVM 内存的每一部分。
作为红队成员，检索剪贴板数据以获取敏感信息（例如密码）是常见的做法。然而，传统上只能提取最新的25条剪贴板数据，如SharpClipHistory项目。
与大多数恶意软件不同，“无文件”攻击并不会在目标计算机的硬盘中留下蛛丝马迹，而是直接将恶意代码写入内存或注册表中。由于没有病毒文件，传统基于文件扫描的防病毒软件很难侦测到它们的存在。然而，“无文件”攻击的定义已经逐渐扩大化，那些需要依靠文件系统的某些功能来实现激活或驻留的恶意软件也已经包括在了“无文件”攻击的范畴中。
IO类型 同步与异步(synchronous,asynchronous)：关注消息通知机制 同步: 进程发出系统调用之后，不会立即有返回信息，但是一旦有返回信息，则一定是最终结果. 异步: 进程发出系统调用之后，会有立即返回结果，但不是最终的结果，当内核处理完成之后，内核通过通知机制通知进程,该系统调用已完成. 阻塞与非阻塞(blocking,nonblocking)：关注系统调用完成时,调用者的状态 阻塞: 调用者在返回结果之前，一直处于被挂起状态，直到有调用结果返回时才能继续工作. 非阻塞: 调用者在调
Java 凭借着自身活跃的开源社区和完善的生态优势，在过去的二十几年一直是最受欢迎的编程语言之一。步入云原生时代，蓬勃发展的云原生技术释放云计算红利，推动业务进行云原生化改造，加速企业数字化转型。
mmap 函数的作用是 将 文件 映射到 内存中 , 映射的单位必须是 PAGE_SIZE ;
每个程序拥有自己的地址空间，这个地址空间被分割成多个块，每一块称为一页 (Page, 4KB)。
工具概述 Clairvoyance是一款功能强大的Windows进程内存地址空间可视化工具，它可以针对一个Windows 64位内核中运行的整个64位进程地址空间（用户和内核）创建一个丰富多彩的页面保护可视化界面。 该工具利用hilbert空间填充曲线将一维空间即地址空间转化为二维可视化界面。上图中的每个彩色像素表示虚拟内存中4KB页的页保护（UserRead、UserReadWrite等）。 地址空间是通过从使用WindDbg生成的内核崩溃转储中手动解析与进程相关联的四级页表层次结构来直接计算的。 最后
在前的博客 【Android 逆向】逆向修改游戏应用 ( 分析应用结构 | 定位动态库位置 | 定位动态库中的修改点 | 修改动态库 | 重打包 ) 中 , 已经分析过该动态库 ;
目前大部分的操作系统和应用程序并不需要16EB( 2^64 )如此巨大的地址空间, 实现64位长的地址只会增加系统的复杂度和地址转换的成本, 带不来任何好处. 所以目前的x86-64架构CPU都遵循AMD的Canonical form, 即只有虚拟地址的最低48位才会在地址转换时被使用, 且任何虚拟地址的48位至63位必须与47位一致(sign extension). 也就是说, 总的虚拟地址空间为256TB( 2^48 ）
大家好，又见面了，我是你们的朋友全栈君 这篇是一系列的关于SO文件保护的自我理解，SO文件保护分为加固，混淆以及最近炒的比较火的虚拟机，由于本人菜鸟，无力分析虚拟机，我相信以后会有机会。。。加固就是将真正的so代码保护起来，不让攻击者那么轻易的发现，至于混淆，由于ART机制的介入，使得O-LLVM越来越火，这以后有机会再分析，这次主要是基于有源码的so文件保护，下次介绍无源码的so文件保护，废话不多说，开搞 在这之前首先对
在服务器运维过程中，经常需要对服务器的各种资源进行监控，例如：CPU的负载监控，磁盘的使用率监控，进程数目监控等等，以在系统出现异常时及时报警，通知系统管理员。本文介绍在Linux系统下几种常见的监控需求及其shell脚本的编写。
向进程内存写出数据时 , 每次最多只能写出 4 字节数据 , 先根据读取的大小 , 计算出读取次数 ,
期待的效果就像 PCHuntor 里的那样，如下： 📷 上代码 #include "stdafx.h" #include <Windows.h> #include <vector> #include <iostream> #include <assert.h> #include <psapi.h> #include <tlhelp32.h> using namespace std; /*枚举指定进程所有内存块 assert(hProcess != nullptr); 参数: hProcess:
APT29是威胁组织，已被归于俄罗斯政府情报组织，APT29至少从2008年开始运作，具有YTTRIUM、The Dukes、Cozy Duke、Cozy Bear、Office Monkeys等别名。主要攻击目标为美国和东欧的一些国家。攻击目的是为了获取国家机密和相关政治利益，包括但不限于政党内机密文件，操控选举等。与APT28，同属于俄罗斯政府的APT28相互独立，但在某种程度上会联合行动。APT29是东欧地区最为活跃的APT组织之一。该APT的许多组件均通过伪造的Intel和AMD数字证书进行签名。
操作系统调度切换多个线程要比切换调度进程在速度上快的多。而且进程间 内存无法共享，通讯也比较麻烦。
充分的了解是打击网络犯罪的最佳武器。了解不同团伙的运作方式及其使用的工具有助于建立有效的防御和取证流程。本报告详细介绍了Cuba组织的历史，以及他们的攻击战术、技术和程序（TTP），旨在帮助组织在类似的威胁面前领先一步。
传入的第一个参数可以是 PTRACE_PEEKTEXT / PTRACE_PEEKDATA / PTRACE_PEEKUSER , 这三个参数效果相同 ;
有一些可以利用的特定场景，不需要了解所有偏移，或者你可以使利用更加简单，直接，最重要的是：可靠。这里我列出了一些利用格式化字符串漏洞的常见方法。
写入时复制（英语：Copy-on-write，简称COW）是一种计算机程序设计领域的优化策略。其核心思想是，如果有多个调用者（callers）同时请求相同资源（如内存或磁盘上的数据存储），他们会共同获取相同的指针指向相同的资源，直到某个调用者试图修改资源的内容时，系统才会真正复制一份专用副本（private copy）给该调用者，而其他调用者所见到的最初的资源仍然保持不变。这过程对其他的调用者都是透明的（transparently）。此作法主要的优点是如果调用者没有修改该资源，就不会有副本（private copy）被创建，因此多个调用者只是读取操作时可以共享同一份资源。
Cheat Engine 一般简称为CE，它是一款功能强大的开源内存修改工具，其主要功能包括、内存扫描、十六进制编辑器、动态调试功能于一体，且该工具自身附带了脚本工具，可以用它很方便的生成自己的脚本窗体，CE工具可以帮助用户修改游戏或者软件中的内存数据，以获得一些其他的功能，CE可以说是目前最优秀的进程内存修改器，但需要注意的是，它的使用可能会涉及到非法或者违反游戏规则的行为，建议读者在使用 Cheat Engine 时要注意自己的行为是否符合相关法律和道德规范。
Redis 是一种内存数据库，将数据保存在内存中，读写效率要比传统的将数据保存在磁盘上的数据库要快很多。所以，监控 Redis 的内存消耗并了解 Redis 内存模型对高效并长期稳定使用 Redis 至关重要。
首先介绍一个函数VirtualProtectEx，它用来改变一个进程的虚拟地址中特定页里的某一区域的保护属性，这句话有些咬嘴，直接从MSDN中翻译过来的，简单来说就是改变某一进程中虚拟地址的保护属性，如果以前是只读的，那改变属性为PAGE_EXECUTE_READWRITE后，就可以更改这部分内存了。
上一周我有幸观看了高级架构师李国讲师的直播，内容是关于 Java 内存问题排查和解决。
MDL内存读写是一种通过创建MDL结构体来实现跨进程内存读写的方式。在Windows操作系统中，每个进程都有自己独立的虚拟地址空间，不同进程之间的内存空间是隔离的。因此，要在一个进程中读取或写入另一个进程的内存数据，需要先将目标进程的物理内存映射到当前进程的虚拟地址空间中，然后才能进行内存读写操作。
首先，PPL表示Protected Process Light，但在此之前，只有Protected Processes。受保护进程的概念是随Windows Vista / Server 2008引入的，其目的不是保护您的数据或凭据。其最初目标是保护媒体内容并遵守DRM（数字版权管理）要求。Microsoft 开发了这种机制，以便您的媒体播放器可以读取例如蓝光，同时防止您复制其内容。当时的要求是镜像文件（即可执行文件）必须使用特殊的 Windows Media 证书进行数字签名（如Windows Internals的“受保护的进程”部分中所述
对于诸多逆向爱好者来说，给一个app脱壳是一项必做的事情。基于安全性的考虑，苹果对上架到appstore的应用都会进行加密处理，所以如果直接逆向一个从appstore下载的应用程序时，所能看到的“源代码”将非常的晦涩难懂。为了能看懂应用程序的“源代码”，就必须对应用程序进行解密，也就是所谓的脱壳。脱壳后的目的是可以分析应用程序的一些技术实现原理，或者利用一些漏洞进行攻击和测试。
Spyre Spyre是一款功能强大的基于主机的IoC扫描工具，该工具基于YARA模式匹配引擎和其他扫描模块构建。其主要功能是简化YARA规则的操作，并帮助广大研究人员更好地实现入侵威胁指标IoC的扫描。 在使用Spyre时，我们需要提供自己的YARA规则集，关于YARA规则，广大研究人员可以参考awesome-yara库所提供的免费YARA规则集。 广大研究人员可以将Spyre当作一款事件响应与调查工具来使用，不过该工具并不能给终端设备提供任何的保护服务。 工具下载 广大研究人员可以使用下列命令将该项目源
在 Visual Studio 2019 中打开了一个 " 生成文件项目 " , 该项目就是注入项目 ; 参考 【Android 逆向】修改运行中的 Android 进程的内存数据 ( Android 系统中调试器进程内存流程 | 编译内存调试动态库以及调试程序 ) 博客 ;
查看进程回忆上次内容 上次修改了 $PATH 路径 把当前用户shiyanlou的宿主文件夹 ~ 添加到 $PATH 中这样 sleep.py 就可以被找到于是就可以被执行了 还可以把配置 $PATH 的脚本 放到 zsh的配置文件(~/.zshrc) 中 配置 ~/.zshrc 就可以 设置 zsh 环境下默认的 $PATH 在当前路径运行 sleep.py 在 python 程序第 1 行 声明打开方式为 python3 把 /usr/bin/python3 从硬盘调用到内存 成为一个进程 不
全局 Hook 不一定需要用到 Dll ，比如全局的鼠标钩子、键盘钩子都是不需要 Dll 的，但是要钩住 API，就需要 Dll 的协助了，下面直接放上 Dll 的代码，注意这里使用的是 MFC DLL。
返回此进程是否正在运行。它还检查PID是否已被另一个进程重用，在这种情况下返回False。
我们知道，java进程中的线程，是直接映射到服务的线程上，当创建的线程过多时，创建线程会失败，现象如下:
Windows 凭据管理是操作系统从服务或用户接收凭据并保护该信息以供将来向身份验证目标呈现的过程。对于加入域的计算机，身份验证目标是域控制器。身份验证中使用的凭据是将用户身份与某种形式的真实性证明（例如证书、密码或 PIN）相关联的数字文档。
经过一系列的文章，我们通过汇编语言，体验了保护模式下分段、分页、特权级跳转、中断、异常等机制。 那么，事到如今，你是否已经深谙保护模式的设计之道了呢？究竟什么是保护模式，保护模式又在“保护”什么呢？他为了什么诞生，又和实模式有什么区别呢？ 本文我们就来详细总结一下。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
