Hello World

发表于2024-01-17|更新于2026-04-01

|浏览量:

Welcome to Hexo! This is your very first post. Check documentation for more info. If you get any problems when using Hexo, you can find the answer in troubleshooting or you can ask me on GitHub.

Quick Start

Create a new post

$ hexo new "My New Post"

More info: Writing

Run server

$ hexo server

More info: Server

Generate static files

$ hexo generate

More info: Generating

Deploy to remote sites

$ hexo deploy

More info: Deployment

__文章作者:helson

__文章链接:https://helsome.gihub.io/2024/01/17/hello-world/

__版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 infinite！

上一篇PE文件浅析

helson

吾生有涯，其知无涯

文章12 标签4 分类1

__公告

This is my Blog

__目录

1. Quick Start
2. 1.1. Create a new post
3. 1.2. Run server
4. 1.3. Generate static files
5. 1.4. Deploy to remote sites

__最新文章

brute ratel C4 badger全分析文档2024-10-25

PE解析器编写2024-10-25

利用dll通知回调加载shellcode2024-10-25

os cs1622024-09-23

wannacry勒索病毒加密解密过程分析2024-07-08

©2020 - 2024 By helson

框架 Hexo|主题 Butterfly

文章作者: helson

文章链接: https://helsome.github.io/2024/01/17/hello-world/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 infinite！

reverse 博客 reverse 摄影博客摄影

相关推荐

go语言样本逆向分析特点

开源工具：https://github.com/0xjiayu/go_parserGo 语言的编译工具链会全静态链接构建二进制文件，把标准库函数和第三方 package 全部做了静态编译，再加上 Go 二进制文件中还打包进去了 runtime 和 GC(Garbage Collection，垃圾回收) 模块代码，所以导致文件结构非常复杂 go语言分析的难点go语言是一种适合处理高并发需求的语言，这和他的goroutine有关，这是一种轻量级线程，goroutine可以初始时只给栈分配很小的空间，然后随着使用过程中的需要自动地增长。这就是为什么Go可以开千千万万个goroutine而不会耗尽内存。每次执行函数调用时Go的runtime都会进行检测，若当前栈的大小不够用，则会触发“中断”，从当前函数进入到Go的运行时库，Go的运行时库会保存此时的函数上下文环境，然后分配一个新的足够大的栈空间，将旧栈的内容拷贝到新栈中，并做一些设置独特的调用约定和栈管理机制，使 C/C++ 二进制文件逆向分析的经验在这里力不从心：Go 语言用的是 continue stack 栈管理机制 ...

CobaltStrike UPX脱壳加壳

UPX加壳：使用x64dbg脱壳之开源壳upx - 知乎 (zhihu.com) 压缩后FILE size明显变小查壳，发现已经加上了壳、过了一些查杀，自动脱壳方法（一般不灵） upx -d /path/to/file 手动脱壳用ada打开，发现加壳后发生了很大变化找到OPE（原始程序入口地址）设置硬件断点（不会修改原有代码）hardwware c++程序的OEP特征00408027 >/$ 55 push ebp 00408028 |. 8BEC mov ebp,esp 0040802A |. 6A FF push -0x1 0040802C |. 68 F0F14000 push C++.0040F1F0 00408031 |. 68 84AF4000 push C++.0040AF84 ; SE 处理程序安装 00408036 |. 64:A1 00000000 mov eax,dword p...

brute ratel C4 badger全分析文档

Brute Ratel C4是一款类似于Cobalt Strike的商业红队武器框架，每年License收费为2500美元，客户需要提供企业电子邮件地址并在颁发许可证之前进行验证，首个版本Brute Ratel C4 v0.2于2021年2月9日发布，它是由Mandiant和CrowdStrike的前红队队员Chetan Nayak创建的，该工具独特之处在于它专门设计防止端点检测和响应(EDR)和防病毒(AV)软件的检测，是一款新型的红队商业对抗性攻击模拟武器。**AV（Antivirus）：主要依赖于特征库来检测计算机病毒，杀毒的能力完全取决于其拥有的特征库的更新程度。EDR（Endpoint Detection and Response）：是一种网络安全解决方案，专注于监控、检测和响应计算机端点（如桌面计算机、笔记本电脑、服务器等）上的潜在威胁和恶意活动。EDR系统通过收集和分析端点数据来发现异常行为、潜在攻击和漏洞利用。与Cobalt Strike的Beacon后门类似，Brute Ratel C4允许红队在远程终端主机上部署Badger后门程序，Badger连接回攻击...

PE文件浅析相关术语文件偏移地址（File Offset,FOA）数据在PE文件中的地址。这是文件在磁盘中存放是相对于文件开头的偏移。装载基址（Image Base）PE文件装入内存时的基地址。虚拟内存地址（Virtual Address，VA）PE文件中的指令被装入内存之后的地址。相对虚拟地址（Relative Virtual Address，RVA）内存地址相对于映射基址的偏移量。三者关系VA=Image Base+ RVA PE解码器 IMAGE_DATA_DIRECTORY 数据目录结构typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; /**指向某个数据的相对虚拟地址 RAV 偏移0x00**/ DWORD Size; /**某个数据块的大小偏移0x04**/ } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECT...

PE解析器编写

项目地址pe-parse/ at master · helsome/pe-parse (github.com) 理论部分见令一篇文章：PE结构浅析。源码// dllmain.cpp : 定义 DLL 应用程序的入口点。 #include<iostream> #include<windows.h> /*运行前需要为项目赋予admin权限，点击项目右键->属性->配置属性->链接器->清单文件->UAC执行级别->requireAdministrator（选择）。这样生成的程序在运行时就可以获得管理员权限，向C盘写入文件否则szBuffer会为NULL，无法运行*/ //文件加载函数 char* LoadFile(const char* szFilePath) { //打开文件 HANDLE hFile = CreateFileA(szFilePath, GENERIC_READ | GENERIC_WRITE, NULL, NULL, OPEN_EXISTING, FILE_ATTRIBUT...

dll injection（dll注入）

DLL注入（英语：DLL injection）是一种计算机编程技术，它可以强行使另一个进程加载一个动态链接库以在其地址空间内运行指定代码，在Windows操作系统上，每个进程都有独立的进程空间，即一个进程是无法直接操作另一个进程的数据的（事实上，不仅Windows，许多操作系统也是如此）。但是DLL注入是用一种不直接的方式，来实现操作其他进程的数据。假设我们有一个DLL文件，里面有操作目标进程数据的程序代码逻辑，DLL注入就是使目标进程加载这个DLL，加载后，这个DLL就成为目标进程的一部分，目标进程的数据也就可以直接操作了 DLL注入基本流程（1）打开目标进程HANDLE OpenProcess( DWORD dwDesiredAccess, BOOL bInheritHandle, DWORD dwProcessId ); //- dwDesiredAccess 访问权限 //- bInheritHandle 是否继承句柄 //- dwProcessId 要打开的进程pid HANDLE hProcess = OpenProcess(PROCESS_ALL...