ProcessHacker学习笔记 ProcessHacker是一款拥有windows任务管理器的开源软件.学习该软件,可增长windows操作系统多方面系统机制知识和性能统计设计的能力. 1.获取进程内存占用率 windows系统下,无论任何版本,都可以在任务管理器下查看各个进程的内存占用率. XP 2003系统下显示的是进程占用的内存工作集也就是PROCESS_MEMORY_COUNTERS结构中的WorkingSetSize; WIN7 VISTA系统下显示的则是进程占用的私有内存工作集也

软件主页及下载: http://processhacker.sourceforge.net/index.php 之前一直用process explorer 功能一样强大,但是process hacker与之相比最大的特点是可以强行结束一些受保护的进程(如某些杀毒软件). 而且是开源,大家有兴趣可以研究一下,这样自己也能写个终极进程杀手了.

processhacker-code-5632\1.x\trunk\NProcessHacker\hook.h typedef struct _PH_HOOK { PVOID Function; PVOID Target; BOOLEAN Hooked; CHAR Bytes[5]; } PH_HOOK, *PPH_HOOK; 这个结构体用来保存每个Hook的信息,Function是hook点的地址, Target是Trampoline的地址,Bytes用来备份Function点处原来的5个字节

https://www.cnblogs.com/theseventhson/p/13197776.html  上一章介绍了通用的shellcode加载器,这个加载器自己调用virtualAlloc分配空间.复制shellcode.执行shellcode,所有操作都在加载器的空间,隐蔽性不强,容易被发现.如果能在其他进程空间把shellcode注入,然后执行了? 可以达到金蝉脱壳的目的:那么该怎么做了? 熟悉win32编程的同学第一时间可能就想到了createRemoteThread+virtua

https://appuals.com/fix-unable-to-terminate-process-access-is-denied/ 我 Process Hacker (方法3),成功杀掉: 阿里巴巴的   AlibabaProtect.exe 腾讯的  QQ protect.exe

catalogue 1. 引言2. 使用注册表注入DLL3. 使用Windows挂钩来注入DLL4. 使用远程线程来注入DLL5. 使用木马DLL来注入DLL6. 把DLL作为调试器来注入7. 使用createprocess来注入代码8. APC DLL注入9. API Hook拦截10. Detours - Inline Hook11. 以服务形式执行DLL中指定函数/或直接指定EXE作为启动程序12. 劫持现有Service的启动DLL13. Reflective DLL injection

java调用process 有两种实现方法,一是使用Runtime类,二是使用Process类. 我在最近的项目里用的是Runtime类,接下来写下总结. 有图有真相(在网上学来一句话) package com.lee.demo; import java.io.BufferedReader; import java.io.IOException; import java.io.InputStream; import java.io.InputStreamReader; public class

引入背景:假如我们每天有10000个订单生成,需要同步到仓储系统中去,以前做法是开启一个crontab去跑这些任务,但是发现总有感觉同步效率低,间隔时间都是分钟级别的. 解决方案测试:我们将同步订单的任务表添加一个hash作为key,作为分发条件,因为mysql中select如果做mod函数是用不到索引的,所以我们自己做随机hash,但是务必不需要范围太大,以免服务器资源不够,方法是根据hashkey投放到不同的进程中进行同步,测试代码如下 <?php /** * Created by PhpS

背景 近期在学习ProcessHacker的源码,Process Hacker是一个免费的.功能强大的"任务管理器",可用于监听系统资源的使用情况,调试软件以及检测恶意程序.使用中你会发现其可以与Sysinternals开发的Process Explorer相媲美.最重要的它是开源的,源码均可以在Github上查看,这使得我们有机会深入了解其实现原理和窥探一些重要的Windows系统接口.我的计划是结合<深入解析windows操作系统>这本书籍学习一些Windows系统原理

20145314郑凯杰<网络对抗技术>恶意DLL注入进程(进程捆绑)的实现 一.本节摘要 简介:在这部分里,要实现将恶意后门悄无声息地与进程进行捆绑,通过和已运行的进程进行捆绑,达到附着攻击执行的隐蔽效果.更进一步,结合前面的资源捆绑的方式,还可以实现免杀恶意注入EXE的效果. 目标: 制作一个恶意DLL(手工免杀方法打造,不会被杀出来) 通过进程注入的方式,将这个恶意DLL注入到已运行的进程中去 在进程中编写一个回调函数,一运行就直接执行恶意代码 将这个恶意DLL直接绑定于我们的注入程序的资

自从公司开始将java作为主要开发语言后,C++与java的混合应用日趋增多. java与C++的通信主要也是使用JNI来完成,这并没有什么问题.对于这样的混合应用项目来说,最大的噩梦莫过于memory leak诊断了.由于Java的内存管理模式与C++有很大的区别,所以对这样的项目进行调试时,首先要区分是Java代码的memory leak还是C++代码的memory leak.对于内存诊断来说,我们需要先了解一些指标含义和工具的使用,这样才能做到有理有据. 指标: memory(workin

线程安全在Java中是一个很重要的课题.Java提供的多线程环境支持使用Java线程.我们都知道多线程共享一些对象实例的话,可能会在读取和更新共享数据的事后产生数据不一致问题. 线程安全 之所以会产生数据的不一致问题,是因为更新实例变量等类似的行为并非是原子操作.这类操作会有三个步骤: 读取当前的值 做一些必要的操作来获取更新的值 将更新的值写会变量之中 我们来看如下程序中多线程如何更新和共享数据: package com.sapphire.threads; public class Threa

之前使用python都是用来做一些简单的脚本,本质上和bat批处理文件没有区别. 但是Python是可以用来编写大型的项目的,比如: Volatility:https://code.google.com/p/volatility/ Cuckoo:http://cuckoosandbox.org/index.html 1. ctypes库 http://docs.python.org/2/library/ctypes.html Python被称为一种"胶水语言(http://en.wikipedi

Cobalt Strike – Bypassing Windows Defender 混淆处理 对于所有红色团队成员来说,在交付有效的替代品同时又不拖延延展组织的所有风吹草动始终是一个挑战.就像所有其他安全解决方案一样,Windows Defender在检测由Cobalt Strike等工具生成的通用有效的方面也变得更加出色. 在此示例中,我们将通过Cobalt Strike生成PowerShell负载,并了解如何进行进行操作,从而绕过Windows 10 PC上的Windows Defende

前面几篇文章介绍了通过APC注入.进程注入.windows窗口处理函数回调.kernercallback回调执行shellcode,今天继续介绍通过heap Spray(翻译成中文叫堆喷射)执行shellcode的方法: 所谓堆喷射,本质上是在堆上分配空间,然后拷贝shellcode到这里执行,思路和之前分享的驱动隐藏(https://www.cnblogs.com/theseventhson/p/13170445.html)方法类似.不一样的地方在于:这里会申请大量空间(业界常见的是200M)

今天介绍第三种远程执行shellcode的思路:函数回调: 1.所谓回调,简单理解: windows出厂时,内部有很多事务的处理无法固化(无法100%预料外部会遇到哪些情况),只能留下一堆的接口,让开发人员根据实际情况完善这些事务的处理过程,比如多线程:windows提供了创建线程的接口CreateThread.CreateRemoteThread,线程创建好后干啥了? 当然是执行开发人员个性化的代码了! 所以这些API的参数也预留了开发人员自定义代码的入口: windows内部:不同模块有不同

https://www.cnblogs.com/theseventhson/p/13218651.html   上次分享了基本的远程注入方法,遗留了一个问题:shellcode执行完后怎么回到线程supend之前的地址继续执行原线程的代码了?当时想的动态获取context中eip的地址,再把push eip 转成机器码,最后放到shellcode的头部.由于shellcode是C3(ret)结尾了,自然会把栈顶的4字节弹出来赋值给EIP,达到回到原线程代码继续执行的目的.但实际操作时,地址往往会

https://www.cnblogs.com/theseventhson/p/13199381.html 上次分享了通过APC注入方式,让目标线程运行shellcode.这么做有个前提条件:目标线程是alertable的,否则注入了也不会立即被执行,直到状态改为alertable,但笔者暂时没找到能把目标线程状态主动改为alertable的办法,所以只能被动“听天由命”地等.今天介绍另一种远程线程注入的方式:hook 线程: 先说第一种思路,如下: 核心代码解析如下: 1.用于测试的目标进程:

在游戏开发中,AI是个永恒不变的话题,如果你要的AI只是很简单的一个逻辑 那么有限状态机是一个很好的解决方案,尽管在实际开发中,AI的设计并不是一个简单的逻辑, 如果用有限状态机,维护起来会非常麻烦,但还是有必要记一笔. 为什么说维护起来很麻烦? 画一个图就知道了. 在状态不是很多的时候,要维护的状态就少,实现起来也很简单. 但是,一旦状态一多,要维护的状态就多了, 每增加一个状态,就要维护这个状态到其他各个状态之间的实现 当状态越来越多的时候,你就会觉得心有余而力不足了. 代码1: using

大家在JSP的开发过程中,经常出现中文乱码的问题,可能一至困扰着大家,现把JSP开发中遇到的中文乱码的问题及解决办法写出来供大家参考.首先了解一下Java中文问题的由来: Java的内核和class文件是基于unicode的,这使Java程序具有良好的跨平台性,但也带来了一些中文乱码问题的麻烦.原因主要有两方面,Java和JSP文件本身编译时产生的乱码问题和Java程序于其他媒介交互产生的乱码问题.首先Java(包括JSP)源文件中很可能包含有中文,而Java和JSP源文件的保存方式是基于字节流

Refer to http://portableapps.com/apps for detail. Below is just a list at Jan-01-2017 for quick shower. Portable App Directory Over 300 Real Portable AppsOver 500 Million DownloadsFree, Legal, Safe, and Fully PortableNo Shovelware. No Bundleware.The