linx_百度空间

文章分类

Ie(0)

百度搜索

最近访客



hookits	westhack
_achillis	hwy9855
開發學習記錄	wengongling
l0pht	yuange1975

文章列表

转载

2010年01月26日星期二 09:28

四年300个攻击技术总结（2006-2009）

类别：待删 | 评论(0) | 浏览()

这是"Aurora"么？

2010年01月16日星期六 11:59

早上看到导致谷歌遭受攻击的IE漏洞攻击代码已遭公开，然后搜到了这段"Aurora"代码：

This flaw was found in the wild and was a key component of the "Operation Aurora" attacks that lead to the compromise of a number of high profile companies.

<html>
<head>
<script>

var var_comment = "COMMENT";

var var_x1 = new Arra

阅读全文>>

类别：win内核/安全 | 评论(11) | 浏览()

traceApi进展：inside kernel32!WinExec

2010年01月14日星期四 20:46

说明：http://hi.baidu.com/linx2008/blog/item/d3a69323d7e0f54fad34dede.html

进展：
1.能够trace所有windows's dll的以(mov edi,edi) push ebp;mov ebp,esp开头的api，以及ntdll.dll ssdt入口函数(他们以 mov eax,0xxx开头)。
2.能够分析函数参数，自动输出字符串。

初衷：分析window api，指令跟踪，Process Stalker/traceAPI，分析病毒

以下是trace kernel32!WinExec的效果，整个流程一目了然！

0 Loading symbols for: C:\WINDOWS\system32\kernel32.dll ..

阅读全文>>

类别：默认分类 | 评论(2) | 浏览()

工作半年了

2010年01月11日星期一 20:28

工作半年了，
大起大落的半年。
感慨一下

类别：默认分类 | 评论(1) | 浏览()

打算搞traceAPI

2010年01月11日星期一 11:43

经常要分析点patch，病毒什么的，
可是手上没有好用的Process Stalker/traceAPI/沙盒，每次分析都要在windbg、ollydbg上折腾半天，我实在无法忍受下去了！
上周用同事的“主动防御”测试了一下，由于很多功能都是在ring0下实现的，无法trace R3的API调用，效果也不理想。
所以周日的时候决定搞一个traceAPI。

首先想到的是这篇文章：

Path Finder的几个方案

阅读全文>>

类别：win内核/安全 | 评论(3) | 浏览()

又见windows键盘监听

2009年10月13日星期二 23:31

上回我写了一篇关于键盘记录的文章《键盘监听，告别hook》，这种方法：

优点：
1.速度快，基本不会出现掉键的情况。
2.稳定，绝不会影响用户的键盘输入。
3.无任何hook，不修改任何系统代码。
4.现在有些主动防御一般hook win32k!NtUserGetAsyncKeyState()以监控木马行为，所以直接调用win32k!_GetKeyState()实现键盘监听是个

阅读全文>>

类别：win内核/安全 | 评论(1) | 浏览()

恶意代码检测方法

2009年09月27日星期日 11:42

mshtml.dll实现了html引擎，jscript.dll实现了javascript引擎。Vbscript.dll和otherBHO.Dll实现了vbscript引擎和第三方控件的方法。
（参考：

阅读全文>>

类别：win内核/安全 | 评论(4) | 浏览()

搞jscript的汇编层hook

2009年09月16日星期三 17:57

写个xx.js,然后用wscript.exe载入，再windbg之：

d=0;
WScript.echo(d);
while(d++<100){
str=escape("abcde");
eval("fff=d;");
a=new Array();
a[0] = "ffffffff";
a["test"] = "ggggggggggg";
}

先下个断点：

bp jscript!SrcEscape

阅读全文>>

类别：win内核/安全 | 评论(10) | 浏览()

[转]Web安全工具大汇聚

2009年07月28日星期二 19:07

http://baoz.net/web-security-tools-collection/

类别：web/网络安全 | 评论(1) | 浏览()

[转]Web Application Vulnerability Scanners

2009年07月28日星期二 11:22

http://baoz.net/web-application-vulnerability-scanners/

Web Application Vulnerability Scanners are tools designed to automatically scan web applications for potential vulnerabilities. These tools differ from general vulnerability assessment tools in that they do not perform a broad range of checks on a myriad of software and hardware. Instead, they perform other checks, such as potential field manipulation and cookie poisoning, which allows a more focused assessment of web appl

阅读全文>>

类别：web/网络安全 | 评论(2) | 浏览()

四种java后门

2009年07月23日星期四 18:42

1.jsp
http://blogimg.chinaunix.net/blog/upfile2/090713181424.rar
用法：把jsps.jsp传到网站根目录，访问http://xxxxxx.com/webapp/jsps.jsp?c=ls

2.jspx
http://blogimg.chinaunix.net/blog/upfile2/090713181429.rar
说明：

阅读全文>>

类别：web/网络安全 | 评论(2) | 浏览()

tip：虚拟机装在移动硬盘上，一点也不卡

2009年05月05日星期二 21:49

尽管我的机子都上2G内存了，开个vmw还是卡得要命，
听硬盘声音就知道瓶颈在硬盘上了，于是买了个移动硬盘，问题迎刃而解。

类别：win内核/安全 | 评论(7) | 浏览()

在知春路上遇到微软亚洲研究院

2009年04月14日星期二 17:05

阅读全文>>

类别：待删 | 评论(8) | 浏览()

键盘监听，告别hook

2009年03月31日星期二 14:45

0: kd> uf win32k!NtUserGetAsyncKeyState
win32k!NtUserGetAsyncKeyState:
bf85ceed 8bff            mov     edi,edi
bf85ceef 55              push    ebp
bf85cef0 8bec            mov

阅读全文>>

类别：win内核/安全 | 评论(10) | 浏览()

如果你有关于ms产品的问题

2009年03月27日星期五 11:22

如果你有关于ms产品的问题，到
http://social.microsoft.com/Forums/zh-CN/categories/
提问吧，ms在那里养着一群人呢

类别：待删 | 评论(2) | 浏览()