www.matousec.com/info/articles/khobe-8.0-earthquake-for-windows-desktop-security-software.php

arstechnica.com/security/news/2010/05/multicore-cpus-move-attack-from-theoretical-to-practical.ars

flash修改、调试...相关

经常要分析点patch，病毒什么的，
可是手上没有好用的Process Stalker/traceAPI/沙盒，每次分析都要在windbg、ollydbg上折腾半天，我实在无法忍受下去了！
上周用同事的“主动防御”测试了一下，由于很多功能都是在ring0下实现的，无法trace R3的API调用，效果也不理想。
所以周日的时候决定搞一个traceAPI。


首先想到的是这篇文章：

写个xx.js,然后用wscript.exe载入，再windbg之：

d=0;
WScript.echo(d);
while(d++<100){
str=escape("abcde");
eval("fff=d;");
a=new Array();
a[0] = "ffffffff";
a["test"] = "ggggggggggg";
}

先下个断点：

bp jscript!SrcEscape

0: kd> uf win32k!NtUserGetAsyncKeyState
win32k!NtUserGetAsyncKeyState:
bf85ceed 8bff            mov     edi,edi
bf85ceef 55              push    ebp
bf85cef0 8bec            mov

尽管我已经用360打过最新的补丁，还是被这个word nday击中了！
是360检测的失误么？


于是立马把它扔到vmw里面，用我的半成品win ids观察了一番。
发现这个exp居然用到了驱动级后门~

亮点：
1.利用了驱动级的后门，还hook了几个函数
2.dll注册系统服务，然后利用svchost.exe启动+进程保护，不好删除。
3.生成一个新的doc迷惑用户。这个功能和上次那个IE day 的shellcode类似。

搞了半天，就快成功了

一个webshell从上传(写入)到访问(运行)的行为特征：

使用web上传漏洞上传asp/php webshell              --由iis_dllhost.exe/apche_httpd.exe调用NT api写文件。
            |
            |
            |

先站坑，近日慢慢补充内容

参考书：《模糊测试--强制性安全漏洞发掘 》   （这里提供的web版和印刷版的内容基本相同）

自动化二进制审核工具

http://osflash.org/

http://www.baidu.com/s?tn=monline_dg&bs=FlashPlayer&f=8&wd=FlashPlayer+opensource

最近学习crack了一个flash游戏，而后又在ubuntu下把flash开源虚拟机gnash编译了。 以下是一些资料：

文档/资源：http://osflash.org

参考1：

http://hi.baidu.com/%CF%AA%B1%DF%B5%BE%CF%E3/blog/item/9052f5334838a742ac4b5fc0.html

讨论FLASH安全

最近陆续琢磨了一下vbs、javascript、.net、swf的调试/修改方法，这些基本都是stack base的 p-code。
其中最有意思的当属对swf 的crack，网上有不少flash游戏、抽奖程序，如果能够对swf进行实时调试，那将是多么令人兴奋的事情，可惜adobe并没有提供这个功能。


整理好笔记后我再一点点地贴出来。


test.vbs:
wscript.echo "hello"
a=100
b=200
c=a+b
wscript.echo c

windbg 加亮版 beta-2009.2.5

说明：
为windbg添加语法加亮的功能

用法：
把文件解压到windbg安装目录，再运行windbg_color_xxx.exe即可。
或者先备份windbg.exe，再用windbg_color_xxx.exe替换原来的windbg.exe。

备注：
windbg6.9_color_0205_beta.exe         windbg6.9 的加亮版本
windbg6.10_color_0205_beta.exe        windbg6.10的加亮版本
windbg6.10_cn_color_0205_beta.exe 

在windbg中查看shadow ssdt：

0: kd> lm
start    end        module name
804d8000 806e3000   nt         (pdb symbols)          I:\Symbols\ntkrpamp.pdb\966DF78E558F483199141B029DF5A9D51\ntkrpamp.pdb