[原创]某公司DLP产品通过驱动注入DLL分析-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (61) ◀ 1 2 3
核心未拥有雪币： 110 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 178 粉丝 1 关注私信	核心未拥有 51 楼等我修改下看看 2016-4-16 09:02 0
MaMy 雪币： 12 活跃值： (423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 282 粉丝 2 关注私信	MaMy 52 楼这招是火绒先搞的吧- - 2017-2-14 11:25 0
hzqst 雪币： 12857 活跃值： (9172) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1794 粉丝 570 关注私信	hzqst 3 53 楼挖的一手好坟 2017-2-14 11:57 0
MaMy 雪币： 12 活跃值： (423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 282 粉丝 2 关注私信	MaMy 54 楼 [QUOTE=hzqst;1463820]挖的一手好坟[/QUOTE] 没注意时间 2017-2-14 15:57 0
lhglhg 雪币： 221 活跃值： (2391) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 438 粉丝 3 关注私信	lhglhg 1 55 楼代码修改后,编译BIN可以注入? 2017-2-15 00:23 0
kaibing 雪币： 67 活跃值： (139) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	kaibing 56 楼 lhglhg 代码修改后,编译BIN可以注入? 修改后不可以注入，在xp下查找导出表的时候，就异常了。 2017-3-10 17:08 0
wx_Hark李雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_Hark李 57 楼 win10好像不行需要改什么吗？ 2019-10-29 11:33 0
wx_Hark李雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_Hark李 58 楼 Nicalzhou Win7 X64下能正常注入. 但是在Win10 X64失败了.  原因未明. 我是新手. 这个后来解决了么？ 2019-10-29 11:44 0
罗小墨雪币： 284 活跃值： (240) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 65 粉丝 0 关注私信	罗小墨 59 楼我这边也有个样本 2019-11-8 10:09 0
fengyunabc 雪币： 3785 活跃值： (3947) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 526 粉丝 26 关注私信	fengyunabc 1 60 楼感谢分享！ 2020-12-11 11:29 0
lemontry 雪币： 270 活跃值： (420) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	lemontry 61 楼 flylinfan 在64环境中看你启动的是32位程序还是64程序，如果启动的64位程序就在ProcessNotify中进行ShellCode插入，还有就是确认下你的ZwProtectVirtualMemory函数地址是 ... 请问：为什么wow64 ntdll的地址每次都需要计算一次？最后于 2021-11-26 11:21 被lemontry编辑，原因： 2021-11-26 11:03 0
justhacker 雪币： 87 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 6 粉丝 0 关注私信	justhacker 62 楼挖下贴子见谅这2016年的技术在当下的操作系统中依然很好用，其中有个小小的bug 场景为64位系统中，注入64位程序，会概率性导致目标程序奔溃无法启动，奔溃原因是构造JMP指令跳转地址错误导致，具体场景为ntdll的模块地址的低4字节在 0x70000000到0x80000000，比如ntDLL位于00007ffa`7ee90000 这个地址就会上述问题，删除if ((ULONG)TargetFuncAddress < (ULONG)0x80000000 && (ULONG)TargetFuncAddress >= (ULONG)0x70000000) 这个if 判定留下else里的代码即可修正此 bug，望后来有缘人知悉，不必重复排查。 2024-9-3 18:35 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (61) ◀ 1 2 3
核心未拥有雪币： 110 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 178 粉丝 1 关注私信	核心未拥有 51 楼等我修改下看看 2016-4-16 09:02 0
MaMy 雪币： 12 活跃值： (423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 282 粉丝 2 关注私信	MaMy 52 楼这招是火绒先搞的吧- - 2017-2-14 11:25 0
hzqst 雪币： 12857 活跃值： (9172) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1794 粉丝 570 关注私信	hzqst 3 53 楼挖的一手好坟 2017-2-14 11:57 0
MaMy 雪币： 12 活跃值： (423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 282 粉丝 2 关注私信	MaMy 54 楼 [QUOTE=hzqst;1463820]挖的一手好坟[/QUOTE] 没注意时间 2017-2-14 15:57 0
lhglhg 雪币： 221 活跃值： (2391) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 438 粉丝 3 关注私信	lhglhg 1 55 楼代码修改后,编译BIN可以注入? 2017-2-15 00:23 0
kaibing 雪币： 67 活跃值： (139) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	kaibing 56 楼 lhglhg 代码修改后,编译BIN可以注入? 修改后不可以注入，在xp下查找导出表的时候，就异常了。 2017-3-10 17:08 0
wx_Hark李雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_Hark李 57 楼 win10好像不行需要改什么吗？ 2019-10-29 11:33 0
wx_Hark李雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_Hark李 58 楼 Nicalzhou Win7 X64下能正常注入. 但是在Win10 X64失败了.  原因未明. 我是新手. 这个后来解决了么？ 2019-10-29 11:44 0
罗小墨雪币： 284 活跃值： (240) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 65 粉丝 0 关注私信	罗小墨 59 楼我这边也有个样本 2019-11-8 10:09 0
fengyunabc 雪币： 3785 活跃值： (3947) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 526 粉丝 26 关注私信	fengyunabc 1 60 楼感谢分享！ 2020-12-11 11:29 0
lemontry 雪币： 270 活跃值： (420) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	lemontry 61 楼 flylinfan 在64环境中看你启动的是32位程序还是64程序，如果启动的64位程序就在ProcessNotify中进行ShellCode插入，还有就是确认下你的ZwProtectVirtualMemory函数地址是 ... 请问：为什么wow64 ntdll的地址每次都需要计算一次？最后于 2021-11-26 11:21 被lemontry编辑，原因： 2021-11-26 11:03 0
justhacker 雪币： 87 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 6 粉丝 0 关注私信	justhacker 62 楼挖下贴子见谅这2016年的技术在当下的操作系统中依然很好用，其中有个小小的bug 场景为64位系统中，注入64位程序，会概率性导致目标程序奔溃无法启动，奔溃原因是构造JMP指令跳转地址错误导致，具体场景为ntdll的模块地址的低4字节在 0x70000000到0x80000000，比如ntDLL位于00007ffa`7ee90000 这个地址就会上述问题，删除if ((ULONG)TargetFuncAddress < (ULONG)0x80000000 && (ULONG)TargetFuncAddress >= (ULONG)0x70000000) 这个if 判定留下else里的代码即可修正此 bug，望后来有缘人知悉，不必重复排查。 2024-9-3 18:35 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复