-
RING3 64位进程注入DLL到32位进程
<div class='markdown-body'><p>只需要拿到32位的kernel32!LoadLibraryA,然后使用普通手段(CreateRemoteThread)注入即可。</p><pre><code&g -
Ring3全局禁止进程创建(x64)
<div class='markdown-body'><pre><code>LPVOID AddressOfCreateProcess=NULL;BYTE OriCode[3]={0x0,0x0,0x0};BYTE NewCode[3]= -
一份兼容32位和64位的MmGetSystemRoutineAddressEx实现
<div class='markdown-body'><p>获得任意模块任意导出函数的地址,不再受限于MmGetSystemRoutineAddress的鸡肋功能。代码从WRK里摘出。</p><pre><code> -
遍历系统中所有的驱动对象
<div class='markdown-body'><p>原理 </p><p>首先我们要知道驱动加载后, 会向对象目录表中的\driver 与\FileSystem 写入 驱动服务名, 那么我们只需要遍历这两张表拿到名 -
用户模式下的远程注入Ex
<div class='markdown-body'><p>UserMode下注入系统服务进程</p><p>头文件代码</p><pre><code>#include <iostream -
无句柄获取进程路径(无硬编码/代码10行/兼容WIN64)
<div class='markdown-body'><p>首先明确一个事实,EPROCESS内部的一个成员(这里应该说是“EPROCESS的成员的成员的成员的成员”更为准确)名为FileObject,它记录了进程的路径。通过IoQueryFileD -
Windows内核编程学习路线及书籍推荐
<div class='markdown-body'><p><img src="https://www.driverentry.net/upload/images/202209/21_10_55_41963.png" alt="" />& -
驱动入门的教程 Window核心编程Windows内核编程.pdf
<div class='markdown-body'><p>本书作者:帕维尔·约西福维奇</p><p>简介:在Windows系统中没有什么比内核更强大了,但是如何编写内核驱动程序来利用这种强大能力呢?这本书为读者描述如何编写W