首页
社区
课程
招聘
[原创]天堂之门 (Heaven's Gate) C语言实现
发表于: 2021-11-6 15:23 39967

[原创]天堂之门 (Heaven's Gate) C语言实现

2021-11-6 15:23
39967

冰与火的战歌:Windows内核攻防实战高级班!从零到实战,融合AI与Windows内核攻防全技术栈,打造具备自动化能力的内核开发高手。

最后于 2021-11-6 15:41 被34r7hm4n编辑 ,原因:
收藏
点赞 ・38
打赏
分享
最新回复 (24)
雪    币: 6103
活跃值: (5972)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2 楼
谢谢分享 要些时间才可以消化
2021-11-6 15:58
0
雪    币: 4767
活跃值: (9006)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3 楼
不错赞一个
2021-11-6 16:33
0
雪    币: 8659
活跃值: (5436)
能力值: ( LV4,RANK:45 )
在线值:
发帖
回帖
粉丝
4 楼
地球人,我的超人
2021-11-6 18:53
0
雪    币: 14379
活跃值: (10932)
能力值: ( LV12,RANK:360 )
在线值:
发帖
回帖
粉丝
5 楼
v0id_ 地球人,我的超人
void orzorzorz
2021-11-6 18:55
0
雪    币: 2901
活跃值: (5705)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6 楼
感谢分享..
2021-11-6 20:28
0
雪    币: 137
活跃值: (1550)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7 楼
很好的文章 
2021-11-6 20:57
0
雪    币: 2413
活跃值: (3266)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8 楼
天堂之门似乎只能应付一些纯应用层检测,但现在大部分都是火绒剑这样的文件过滤驱动或者sysmon/etw之类的
2021-11-8 13:52
0
雪    币: 14379
活跃值: (10932)
能力值: ( LV12,RANK:360 )
在线值:
发帖
回帖
粉丝
9 楼
dearfuture 天堂之门似乎只能应付一些纯应用层检测,但现在大部分都是火绒剑这样的文件过滤驱动或者sysmon/etw之类的
是的,毕竟是非常老的技术了,学习一下还是可以,但是实战可能没什么作用了
2021-11-8 13:57
0
雪    币: 248
活跃值: (3789)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10 楼
棒子的ngs就是用的这招
2021-11-24 07:46
0
雪    币: 330
活跃值: (1149)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11 楼
dearfuture 天堂之门似乎只能应付一些纯应用层检测,但现在大部分都是火绒剑这样的文件过滤驱动或者sysmon/etw之类的
我觉得,现在很多不是专业的二进制样本分析人员,都喜欢用微步、哈勃这些产品扫扫,所以能过微步这些的检测,还是有一定意义的。
2021-11-26 17:50
0
雪    币: 243
活跃值: (534)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
12 楼
精品文章, vmp里面曾见过用到这种技术
2021-11-26 18:03
0
雪    币: 22697
活跃值: (24880)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
13 楼
精彩文章!感谢分享!
2021-11-26 18:34
0
雪    币: 258
活跃值: (3682)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14 楼
mark
2021-11-28 13:24
0
雪    币: 577
活跃值: (297)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15 楼
mark
2022-4-18 11:45
0
雪    币: 2901
活跃值: (5705)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16 楼
文章写的很工整
2022-4-19 09:50
0
雪    币: 2
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
17 楼
64aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5N6$3k6H3L8q4)9J5c8Y4u0W2N6$3!0D9k6W2)9J5k6s2N6G2N6K6j5@1k6i4S2@1
2022-4-26 01:34
0
雪    币: 5563
活跃值: (4305)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
18 楼
mark
2022-9-26 10:25
0
雪    币: 177
活跃值: (3129)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19 楼
mark
2022-10-24 17:27
0
雪    币: 3672
活跃值: (9915)
能力值: ( LV9,RANK:319 )
在线值:
发帖
回帖
粉丝
20 楼

只能生成后双击运行其实导致马子受到的限制比较多

只能生成后双击运行的原因:6fcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1L8%4y4T1L8%4S2Q4x3X3c8K6N6r3q4Y4K9h3&6Y4i4K6u0r3k6r3!0K6j5X3!0^5i4K6u0V1M7%4c8S2k6$3W2F1k6#2)9J5c8X3W2K6M7%4g2W2M7#2)9J5c8U0p5K6y4K6W2Q4c8e0g2Q4z5e0u0Q4z5p5y4Z5N6s2c8H3M7#2)9K6b7g2)9J5c8W2)9J5c8X3q4K6M7s2u0G2M7%4W2K6i4K6u0W2j5X3I4G2k6%4y4H3L8%4c8Q4x3X3g2U0L8$3#2Q4x3V1j5J5x3o6l9&6i4K6u0r3x3o6y4Q4x3V1k6H3k6i4u0A6L8s2y4Q4x3X3c8S2L8X3c8Q4x3X3c8H3K9i4c8X3j5h3I4D9M7#2)9J5k6r3!0X3i4K6u0V1L8r3q4#2L8X3y4Z5K9h3&6Y4i4K6u0W2K9s2c8E0L8q4!0q4z5q4!0n7c8W2)9&6z5g2!0q4y4q4!0n7z5q4!0m8b7g2!0q4y4W2)9&6y4W2)9^5y4#2!0q4y4q4!0n7z5q4!0m8c8q4!0q4y4W2)9&6b7#2)9^5z5g2!0q4y4W2)9^5c8W2)9&6x3q4!0q4y4g2)9^5z5q4!0n7x3q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2!0m8y4q4!0m8y4#2!0q4y4W2!0m8y4W2)9^5x3W2!0q4y4W2)9^5y4q4)9^5c8W2!0q4y4W2)9^5x3q4)9&6c8q4!0q4y4W2)9&6z5q4!0m8c8W2!0q4y4g2)9&6x3q4!0m8c8W2!0q4y4g2)9^5b7g2!0m8z5q4!0q4y4W2)9&6y4#2!0n7y4W2!0q4y4q4!0n7c8q4!0n7c8W2!0q4y4#2)9&6y4q4!0m8z5q4!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4#2)9&6y4q4!0m8z5q4!0q4y4W2)9^5z5q4!0n7y4#2!0q4y4W2!0n7x3W2!0m8x3g2!0q4y4W2)9&6b7#2)9^5z5g2!0q4z5q4!0m8c8g2!0n7c8W2!0q4z5g2)9&6y4#2!0m8c8b7`.`. Window Station 和桌面的权限,并且您的进程正在其中启动,因此它无法初始化,去调整 Window Station 和桌面的安全描述符,以向正在启动进程的用户授予AllAccess权限的话太过麻烦,源码cpp最开始加一句

#pragma comment(linker, "/subsystem:\"windows\" /entry:\"mainCRTStartup\"")

生成一个不带控制台窗口的 Windows 应用程序

然后可以加载成功

2024-3-21 12:06
2
雪    币: 690
活跃值: (5653)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
21 楼
骚操作
2024-3-26 14:28
0
雪    币: 447
活跃值: (5572)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
22 楼
SYJ-Re 只能生成后双击运行其实导致马子受到的限制比较多只能生成后双击运行的原因:c19K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1L8%4y4T1L8%4S2Q4x3X3c8K6N6r3q4Y4K9h3&6Y4i4K6u0r3k6r3!0K6j5X3!0^5i4K6u0V1M7%4c8S2k6$3W2F1k6#2)9J5c8X3W2K6M7%4g2W2M7#2)9J5c8U0p5K6y4K6W2Q4c8e0g2Q4z5e0u0Q4z5p5y4Z5N6s2b7`. ...
貌似这玩意不能直接通过x64call的方式调用cs或者msf生成的shellcode,我也尝试过从kernel32中获取CreateThread,再通过CreateThread创建线程传入shellcode的方式运行 也没有成功 不知道是为什么
2024-4-16 06:41
0
雪    币: 320
活跃值: (85)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23 楼
收藏学习一下,外行人的我居然看懂,orzorzorzorzorzorz!膜拜学习。其中get到的新知识是WoW64层的那张图。
2024-4-29 11:23
0
雪    币: 6770
活跃值: (8783)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
24 楼

目前市面上这些都无法兼容ARM64等新WOW64平台,我这个可以
80cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6K6L8$3&6&6M7s2x3#2x3U0l9I4x3K6p5@1i4K6u0r3N6$3!0%4y4U0c8W2P5s2b7`.
另外无法加载kerner32.dll,和user32.dll是操作系统设计限制,就算你加载成功并调用了里面的函数,之后程序也会问题,因为程序已经进入一个混乱的状态了(同时拥有了32位和64位的窗口态等),会让系统分不清楚你这个进程到底是64位的还是32位的,比如你显示了窗口后,那些第三方的64位的窗口钩子DLL也会出现在你的进程中,而工作异常。所以这项技术就不是拿来加载64位dll用的,加载dll还是老实通过新建原生进程吧,如rundll32.exe。这个只能实现读写64位内存,注入远程线程级别的操作。

最后于 2024-4-29 21:32 被sonyps编辑 ,原因:
2024-4-29 15:18
1
雪    币: 4
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
25 楼

eccK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6X3M7X3g2W2L8s2W2X3L8s2W2&6P5g2)9J5c8V1&6@1c8i4S2@1i4K6t1$3L8X3u0K6M7q4)9K6b7W2!0q4y4W2)9^5c8g2!0m8y4#2!0q4y4g2)9^5z5q4!0n7y4W2!0q4y4g2)9^5c8W2!0n7x3q4!0q4y4#2!0m8z5q4)9^5b7W2!0q4y4g2!0n7b7g2)9^5c8W2!0q4y4g2)9^5b7g2!0m8x3q4!0q4z5q4!0n7c8q4!0n7c8q4)9J5y4X3&6T1M7%4m8Q4x3@1t1$3y4q4!0q4y4q4!0n7c8q4)9^5c8r3E0W2M7X3&6W2L8o6x3J5i4K6u0W2k6r3I4D9i4K6t1$3L8X3u0K6M7q4)9K6b7W2!0q4y4g2)9^5c8W2!0m8c8W2!0q4y4q4!0n7b7W2!0m8y4g2!0q4y4#2)9&6b7#2)9^5b7W2!0q4y4W2)9^5z5q4)9&6x3g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4z5q4!0n7c8W2)9&6z5g2!0q4y4q4!0n7z5q4!0m8b7g2!0q4z5g2!0m8x3g2!0n7z5g2!0q4y4#2)9&6b7W2!0m8c8b7`.`.
32 位的控制台程序里,强行去加载 64 位的 kernel32.dll,系统在初始化控制台相关资源时会发生严重的逻辑错乱,可以先用 VirtualProtect 解除内存保护,把程序的身份强行篡改成 WINDOWS_GUI,加载完 kerneldll 之后再恢复成 CUI

最后于 2026-3-22 23:47 被如风少年编辑 ,原因:
2026-3-16 01:04
0
游客
登录 | 注册 方可回帖
返回