因为我们沙箱注入了一个DLL到了目标进程，并且Hook了一系列NtXX(NtOpenKey)函数，所以我们在注入的代码中是不能使用RegXX(RegOpenKey等)这类函数的。因为RegXX系列函数在底层使用了NtXX系列函数，如果在注入DLL执行Hook后的逻辑中使用了RegXX系列函数，将会导致递归调用的问题，就让程序产生“蛋生鸡，鸡生蛋”这样的“思考”，可是程序不知道停止，最终脑袋用完了就...
2012-06-11 23:21 阅读(978) 评论(3) Nt函数是在Ring3层最底层的函数了，选择此类函数进行Hook，是为了提高绕过门槛。我的Hook方案使用的是微软的Detours。（转载请指明出处） Detours的Hook和反Hook的写入如下：DetourTransactionBegin();DetourUpdateThread(GetCurrentThread());DetourAttach(lpOriFun...
2012-06-11 01:18 阅读(1357) 评论(5) 要做注册表沙箱，就必须要了解部分注册表知识。而注册表的知识很多，本文主要讲述如何在win32系统是上识别注册表映射的。（转载请指明出处） 在我的xp 32bit系统上，Win+R regedit之后打开注册表管理器。我们可以看到如下主键：HKEY_CLASSES_ROOT、HKEY_CURRENT_USER、HKEY_LOCAL_MACHINE、HKEY_USERS和HKEY_C...
2012-06-11 00:15 阅读(1082) 评论(7) 从今年4月份开始，我接触到一个沙箱项目。该项目的需求要求我们的沙箱具有良好的安全性和兼容性。当时我们研究了SandBoxIE和360的沙箱，基本确定通过“重定向”思路来实现这款沙箱。而我主要负责研究注册表这块。（转载请指明出处） 在操作系统中，我们对一个对象（文件、注册表键等）的操作存在“创建”、“打开”、“关闭”、“修改”、“删除”和“查询”等。这些操作的源便是那个对象，“重定...
2012-06-10 19:18 阅读(842) 评论(0) 本文只讨论使用第三方软件优化系统后，或者您主动禁止服务后导致VS不能启动的问题。(转载请指明出处) 记得大概是08年时，我使用一些软件对电脑启动项做了优化。后来打开VS2005时，发现VS2005会一直保持在“载入界面”，当时十分懊恼，因为我也不知道那些优化软件修改了我电脑什么设置，而且当时网络上也没有相关的解决方案介绍，于是就硬着皮头重装了VS2005！！还是重装了两次！！！问...
2012-06-10 17:21 阅读(644) 评论(0) 在我们开发工程中，可能有些情况下，不能在本机进行调试。这个时候我们一般会使用VM（vmware)建立一个虚拟机环境，然后把编译过的程序放在该虚拟机环境下执行调试。可是在某些情况下，不管我们编译的是debug还是release版本，在虚拟机环境中都会报“由于应用程序配置不正确，应用程序未能启动。重新安装应用程序可能会纠正这个问题。”（The application has failed to sta...
2012-05-11 22:29 阅读(3296) 评论(1) 工作中经常会遇到通过进程ID获取进程镜像文件或者其他模块的路径的需求。（转载请指明出处）网上关于方案大致存在两种方案： 1 OpenProcess->GetModuleFileName 2 OpenProcess->EnumProcessModules->GetModuleFileNameEx 我试验了下，第一个方案是不正确的。OpenProc...
2012-04-20 23:26 阅读(2239) 评论(5) 在之前几节介绍了各种注入方法，但是这些方法存在一些缺陷——对.net程序注入无效。（转载请指明出处） 这个可以理解，.net程序的代码不是汇编，而是微软自定义的IL中间语言。.net CLR如同虚拟机，解析并执行这些中间语言。 于是我们之前所说的修改文件入口点的方法在此是一点都不奏效的，谁知道E8（Call）在IL中是啥！ 远线程方法也存在问题...
2012-04-18 22:46 阅读(533) 评论(0) 前两节中介绍了通过远线程进行注入的方法。现在换一种方法——修改进程入口点。（转载请指明出处） 在PE文件中，其中有个字段标识程序入口点位置。我们通过这个字段，到达程序入口点。PE文件的结构我这儿不讨论（我会在之后写关于PE文件的介绍和研究），我只列出一些和程序入口点有关的数据结构typedef struct _IMAGE_NT_HEADERS { DWORD Si...
2012-04-18 20:38 阅读(1092) 评论(1) 在前一节中介绍了通过远线程不带参数的方式提前注入进程，现在介绍种远线程携带参数的方法。（转载请指明出处） 1.2 执行注入的进程需要传信息给被注入进程 因为同样采用的是远线程注入，所以大致的思路是一样的，只是在细节上要注意一些处理。总体来说分为以下几个步骤： 1 将需要传递的信息写入被注入进程的地址空间。 2 将远线程函数体写入被注...
2012-04-17 20:05 阅读(745) 评论(0) 前些天一直在研究Ring3层的提前注入问题。所谓提前注入，就是在程序代码逻辑还没执行前就注入，这样做一般用于Hook API。（转载请指明出处）自己写了个demo，在此记下。 我的demo使用了两种注入方式：1 远线程； 2 修改代码入口点。 先说下我代码风格，因为要处理很多异常逻辑，我比较喜欢do{}while(0);这样的结构，一旦出错，就break出来。于...
2012-04-13 23:09 阅读(694) 评论(0) 最近组内准备整顿代码，领导让我写个简单的python脚本分析代码中注释的行数和无效注释。因为这个需求不是很急，所以我想把简单的事情做复杂点。于是就写了一个用VC内嵌Python，并通过模拟按键和发消息去控制其他软件的工具。（转载请指明出处） 作为一个程序员，总是希望自己写的东西别人能用上且喜欢去用。因为python更新很快，往往两个版本中存在一些语法或者实现的改动。其实最讨厌的就...
2012-01-10 03:08 阅读(1131) 评论(6) 今天翻出一些今年前写的代码。其中一个是09年，我帮一个读研的同学写的一个“无公害恶意”程序。大致要求就是要实现自启动和自我隐藏。我使用的都是些简单的技术，只是实现自我隐藏稍微让我花费了点时间写算法。其实这个算法也很简单，就是大学时候写的从一个单向链表中删除一个元素。（转载请指明出处）APIhook我这儿就不说了，网上很多开源的代码，我只贴出“删除元素”的代码。NTSTATUS WINA...
2011-12-27 18:57 阅读(1035) 评论(0) 工作中接手了一款产品的改造。因为该产品可能使用很多线程，所以产品中使用了线程池。（转载请指明来自BreakSoftware的CSDN博客） 线程池的一个优点是降低线程创建和销毁的频率；缺点是可能在比较闲的时候还存在一定数量的空闲线程。这个也可以比作现实生活中的武器，对于一款武器，有其攻击的能力和防御的能力。有些设计可能会将攻击力做的很强但是防御力有所折扣，有些可能防御做的很好...
