*CTF-REVER-WP0x1 Simple File System 找到关键加密位置 动调得到V4的值 在image.flag找到密文。因为*ctf加密开头是不变的，所以通过特征码搜索。 data=[0x00, 0xD2, 0xFC

2022年腾讯PC端初赛0x0 前言这里写的wp不是我提交的wp，提交的只写了关键位置。所以又重新写一份从头到尾的思路wp。 先来一张图帮助大家理解下面为什么有这些步骤和作用。 0x1 ida分析 刚进来就是判断是否多开，防止多开，先是注

WIN10 x64 Patch Guard 学习笔记0x0 前言笔记学习会持续更新 0x1 基础理论绝大部分 PG检测（如果不是全部）基于 context 结构体； context 包括：一小段自解密代码 ​

x64汇编笔记记录0x0 前言笔记学习会持续更新 0x1 学习（1）对32位寄存器的写操作（包括运算结果），对相应的64位寄存器的高32位清0 立即数的使用，优先使用32位扩展，64位立即数指令较少 内存优先使用相对偏移寻址，直接寻址指令较

内核反截图思路流程0x0 提要NtUserSetWindowDisplayAffinity 在win32kfull.sys ValidateHwnd 在 win32kbase.sys 0x1 分析NtUserSetWindowDisplay

2020年腾讯游戏安全大赛PC端决赛0x0题目要求winmine.exe是一个扫雷游戏程序，winmine.dmp是该程序的一份进程dump, 在这份dump中，有一个DLL作弊程序。 1, 请找到该作弊程序，给出模块名；（1分） 2, 并

2020年腾讯游戏安全大赛PC端初赛0x1 RING3 扫雷先用PE查exe的text段偏移地址，然后加0x1da dump出内存 然后用开头特征码去dump文件里再dump出来 0x2 脚本对比 对比一下改了什么 可以发现原本是一个

win10x64 内核驱动对象遍历和EPROCESS结构体遍历0x1 驱动对象遍历 #include <ntddk.h> typedef struct _LDR_DATA_TABLE_ENTRY { LIST_ENTRY

win10x64内核中断门提权0x0 SMEP SMAP首先来说一下改变，win10新增了SMEP和SMAP SMEP：禁止内核执行用户空间的代码（3环代码） SMAP：禁止内核CPU访问用户空间 所以就算提权到0环也是无法运行读取的，所以

win10 x64内核 IA-32e 笔记0x0 前言21年11月份学习了32位的内核，但是准备腾讯比赛发现，是给的64位驱动，所以学习64位。 0x1 x86到x64的改变IA-32e 模式：内核64位，用户64或32位 ​