Reverse Study Blogs
Patch Guard Patch Guard
WIN10 x64 Patch Guard 学习笔记0x0 前言笔记学习会持续更新 0x1 基础理论绝大部分 PG检测(如果不是全部)基于 context 结构体; context 包括:一小段自解密代码 ​
2022-04-14 Blue
x64汇编笔记 x64汇编笔记
x64汇编笔记记录0x0 前言笔记学习会持续更新 0x1 学习(1)对32位寄存器的写操作(包括运算结果),对相应的64位寄存器的高32位清0 立即数的使用,优先使用32位扩展,64位立即数指令较少 内存优先使用相对偏移寻址,直接寻址指令较
2022-04-13 Blue
内核反截图思路 内核反截图思路
内核反截图思路流程0x0 提要NtUserSetWindowDisplayAffinity 在win32kfull.sys ValidateHwnd 在 win32kbase.sys 0x1 分析NtUserSetWindowDisplay
2022-04-12 Blue
2020TencentPC端决赛 2020TencentPC端决赛
2020年腾讯游戏安全大赛PC端决赛0x0题目要求winmine.exe是一个扫雷游戏程序,winmine.dmp是该程序的一份进程dump, 在这份dump中,有一个DLL作弊程序。 1, 请找到该作弊程序,给出模块名;(1分) 2, 并
2022-04-08 Blue
2020年腾讯游戏安全大赛PC端初赛0x1 RING3 扫雷先用PE查exe的text段偏移地址,然后加0x1da dump出内存 然后用开头特征码去dump文件里再dump出来 0x2 脚本对比 对比一下改了什么 可以发现原本是一个
2022-04-07 Blue
Driver Ergodic Driver Ergodic
win10x64 内核驱动对象遍历和EPROCESS结构体遍历0x1 驱动对象遍历 #include <ntddk.h> typedef struct _LDR_DATA_TABLE_ENTRY { LIST_ENTRY
2022-04-05 Blue
win10x64Kernel win10x64Kernel
win10x64内核中断门提权0x0 SMEP SMAP首先来说一下改变,win10新增了SMEP和SMAP SMEP:禁止内核执行用户空间的代码(3环代码) SMAP:禁止内核CPU访问用户空间 所以就算提权到0环也是无法运行读取的,所以
2022-04-03 Blue
x64 IA-32e x64 IA-32e
win10 x64内核 IA-32e 笔记0x0 前言21年11月份学习了32位的内核,但是准备腾讯比赛发现,是给的64位驱动,所以学习64位。 0x1 x86到x64的改变IA-32e 模式:内核64位,用户64或32位 ​
2022-04-02 Blue
toplay toplay
HUFUCTF-REVER-toplay0x1 分析java层 点击一片区域10次触发 一个网页,进去就是2048游戏 发现经过了base混淆 http://www.dejs.vip/encry_decry/obfuscator.ht
2022-03-28 Blue
shell_code shell_code
HUFUCTF2022-REVER-shellcode0x0 前言承接上文的tmd脱壳,所以直接来到ida分析环节 0x1 IDA分析 要求输入352位 会对每一位进行一个逻辑左移3位 可以看出来是一个xtea加密,密钥和defult都
2022-03-28 Blue
4 / 5