ProcessHacker学习笔记 ProcessHacker是一款拥有windows任务管理器的开源软件.学习该软件,可增长windows操作系统多方面系统机制知识和性能统计设计的能力. 1.获取进程内存占用率 windows系统下,无论任何版本,都可以在任务管理器下查看各个进程的内存占用率. XP 2003系统下显示的是进程占用的内存工作集也就是PROCESS_MEMORY_COUNTERS结构中的WorkingSetSize; WIN7 VISTA系统下显示的则是进程占用的私有内存工作集也

软件主页及下载: http://processhacker.sourceforge.net/index.php 之前一直用process explorer 功能一样强大,但是process hacker与之相比最大的特点是可以强行结束一些受保护的进程(如某些杀毒软件). 而且是开源,大家有兴趣可以研究一下,这样自己也能写个终极进程杀手了.

processhacker-code-5632\1.x\trunk\NProcessHacker\hook.h typedef struct _PH_HOOK { PVOID Function; PVOID Target; BOOLEAN Hooked; CHAR Bytes[5]; } PH_HOOK, *PPH_HOOK; 这个结构体用来保存每个Hook的信息,Function是hook点的地址, Target是Trampoline的地址,Bytes用来备份Function点处原来的5个字节

https://appuals.com/fix-unable-to-terminate-process-access-is-denied/ 我 Process Hacker (方法3),成功杀掉: 阿里巴巴的   AlibabaProtect.exe 腾讯的  QQ protect.exe

Refer to http://portableapps.com/apps for detail. Below is just a list at Jan-01-2017 for quick shower. Portable App Directory Over 300 Real Portable AppsOver 500 Million DownloadsFree, Legal, Safe, and Fully PortableNo Shovelware. No Bundleware.The 

Contents Introduction Back To Fundamentals Load The CLR Fundamentals Advanced DLL Injection Fundamentals Advanced Putting It All Together Running The Code Closing Notes Introduction .Net is a powerful language for developing software quickly and reli

//输入密码#1::send test1234sleep 600send {enter}return //打开程序; win + t: open total cmd#t::IfWinNotExist ahk_class TotalCmd{ Run "D:\Program Files\totalcmd\TOTALCMD64.EXE" WinActivate}Else IfWinNotActive ahk_class TotalCmd{ WinActivate}Else{ WinMinim

背景 近期在学习ProcessHacker的源码,Process Hacker是一个免费的.功能强大的"任务管理器",可用于监听系统资源的使用情况,调试软件以及检测恶意程序.使用中你会发现其可以与Sysinternals开发的Process Explorer相媲美.最重要的它是开源的,源码均可以在Github上查看,这使得我们有机会深入了解其实现原理和窥探一些重要的Windows系统接口.我的计划是结合<深入解析windows操作系统>这本书籍学习一些Windows系统原理

20145314郑凯杰<网络对抗技术>恶意DLL注入进程(进程捆绑)的实现 一.本节摘要 简介:在这部分里,要实现将恶意后门悄无声息地与进程进行捆绑,通过和已运行的进程进行捆绑,达到附着攻击执行的隐蔽效果.更进一步,结合前面的资源捆绑的方式,还可以实现免杀恶意注入EXE的效果. 目标: 制作一个恶意DLL(手工免杀方法打造,不会被杀出来) 通过进程注入的方式,将这个恶意DLL注入到已运行的进程中去 在进程中编写一个回调函数,一运行就直接执行恶意代码 将这个恶意DLL直接绑定于我们的注入程序的资

Process Hacker.Windbg.vs2017 调试托管内存.Microsoft.Samples.Debugging.ants memory profiler.ants performance profiler 有时间详细介绍这几个工具怎么玩,不过这几个工具只是辅助分析飙高原因,都很难直接定位,需要经验......

自从公司开始将java作为主要开发语言后,C++与java的混合应用日趋增多. java与C++的通信主要也是使用JNI来完成,这并没有什么问题.对于这样的混合应用项目来说,最大的噩梦莫过于memory leak诊断了.由于Java的内存管理模式与C++有很大的区别,所以对这样的项目进行调试时,首先要区分是Java代码的memory leak还是C++代码的memory leak.对于内存诊断来说,我们需要先了解一些指标含义和工具的使用,这样才能做到有理有据. 指标: memory(workin

本文是我对自己上一篇转载的博客 <Figuring out why my SVCHOST.EXE is at 100% CPU without complicated tools in Windows 7> 的翻译.本人翻译的原则是力求通顺自然,因此很多地方并没有严格按照原文的词句来,而是争取用更符合我们语言习惯的方式表达类似的意思. 原文:Figuring out why my SVCHOST.EXE is at 100% CPU without complicated tools in W

基于windows 10打造的kali工具集.iso,适合于习惯使用windows的安全从业者.if you like it,please touch star! 作为安全从业主,Kali都是必备工具箱,一款作为黑客常用工具的集合平台深受安全人员喜欢.但是Kali是从BT5转变而来,所以是基于Linux系统集成的.作为很多工控安全从业者因为都是使用Windows平台来做日常支撑平台.那今天介绍一款基于Windows 10打造的Kali渗透工具平台(Kali Windows V1.1),此款平台与

之前使用python都是用来做一些简单的脚本,本质上和bat批处理文件没有区别. 但是Python是可以用来编写大型的项目的,比如: Volatility:https://code.google.com/p/volatility/ Cuckoo:http://cuckoosandbox.org/index.html 1. ctypes库 http://docs.python.org/2/library/ctypes.html Python被称为一种"胶水语言(http://en.wikipedi

Cobalt Strike – Bypassing Windows Defender 混淆处理 对于所有红色团队成员来说,在交付有效的替代品同时又不拖延延展组织的所有风吹草动始终是一个挑战.就像所有其他安全解决方案一样,Windows Defender在检测由Cobalt Strike等工具生成的通用有效的方面也变得更加出色. 在此示例中,我们将通过Cobalt Strike生成PowerShell负载,并了解如何进行进行操作,从而绕过Windows 10 PC上的Windows Defende

前面几篇文章介绍了通过APC注入.进程注入.windows窗口处理函数回调.kernercallback回调执行shellcode,今天继续介绍通过heap Spray(翻译成中文叫堆喷射)执行shellcode的方法: 所谓堆喷射,本质上是在堆上分配空间,然后拷贝shellcode到这里执行,思路和之前分享的驱动隐藏(https://www.cnblogs.com/theseventhson/p/13170445.html)方法类似.不一样的地方在于:这里会申请大量空间(业界常见的是200M)

今天介绍第三种远程执行shellcode的思路:函数回调: 1.所谓回调,简单理解: windows出厂时,内部有很多事务的处理无法固化(无法100%预料外部会遇到哪些情况),只能留下一堆的接口,让开发人员根据实际情况完善这些事务的处理过程,比如多线程:windows提供了创建线程的接口CreateThread.CreateRemoteThread,线程创建好后干啥了? 当然是执行开发人员个性化的代码了! 所以这些API的参数也预留了开发人员自定义代码的入口: windows内部:不同模块有不同

https://www.cnblogs.com/theseventhson/p/13218651.html   上次分享了基本的远程注入方法,遗留了一个问题:shellcode执行完后怎么回到线程supend之前的地址继续执行原线程的代码了?当时想的动态获取context中eip的地址,再把push eip 转成机器码,最后放到shellcode的头部.由于shellcode是C3(ret)结尾了,自然会把栈顶的4字节弹出来赋值给EIP,达到回到原线程代码继续执行的目的.但实际操作时,地址往往会

https://www.cnblogs.com/theseventhson/p/13199381.html 上次分享了通过APC注入方式,让目标线程运行shellcode.这么做有个前提条件:目标线程是alertable的,否则注入了也不会立即被执行,直到状态改为alertable,但笔者暂时没找到能把目标线程状态主动改为alertable的办法,所以只能被动“听天由命”地等.今天介绍另一种远程线程注入的方式:hook 线程: 先说第一种思路,如下: 核心代码解析如下: 1.用于测试的目标进程:

https://www.cnblogs.com/theseventhson/p/13197776.html  上一章介绍了通用的shellcode加载器,这个加载器自己调用virtualAlloc分配空间.复制shellcode.执行shellcode,所有操作都在加载器的空间,隐蔽性不强,容易被发现.如果能在其他进程空间把shellcode注入,然后执行了? 可以达到金蝉脱壳的目的:那么该怎么做了? 熟悉win32编程的同学第一时间可能就想到了createRemoteThread+virtua

  之前看到一篇关于Lsass内存dump的文章,学习记录一下.   lsass.exe(Local Security Authority Subsystem Service)进程空间中,存有着机器的域.本地用户名和密码等重要信息.如果获取本地高权限,用户便可以访问 LSASS 进程内存,从而可以导出内部数据(password),用于横向移动和权限提升.   Windows环境中,一款知名的开源工具Mimikatz(开发者为Benjamin Delpy)可以从 LSASS 内存数据中提取用户名和