驱动文章类：
https://blog.csdn.net/zuishikonghuan
https://blog.csdn.net/qq1841370452/article/category/6402114
IDABook
http://www.idabook.com/
http://www.cnblogs.com/mydomain/category/264964.html
推荐的php集成环境
http://www.upu...
#include <windows.h>
#include <winnt.h>
用#include <winnt.h> 记得前面加上 #include <windows.h>
调试了半天， 我去！！！
一．废话
最近因为公司的项目需要，顺带的学习了一点和PELoader相关的东西，恰见网上正在沸沸扬扬的谈论虚拟脱壳。本人不才，实在是没能力也没精力去写一个真正意义上的虚拟机，因此尝试做了一个简单而偷懒的PE加载器。
这个PE加载器也可以看做是VM的前身吧。我想它可以成为一个简易脱壳工具或者用户态的进程内调试器基础。
二．做这个东西干嘛？
1．公司的项目需要实现但进程内多插件并发运行，也就是说，1个PID需要同时给n个进程使用，这牵扯到更麻烦的进程内内存切换工作。
2．实现反向进程注入，隐藏进程，这样做的RK更不容易被发现。
3．自从离开了安全的伤心地之后，一直堕落于做IM软件的Server，...
一.Windows消息钩取：SetWindowsHookEx
HHOOK SetWindowsHookEx(
intidHook,// hook type 就是HOOK的消息种类，如WH_KEYBOARD,WH_MOUSE....见MSDN
HOOKPROClpfn,// hook procedure 钩子过程，安装消息钩子时候，钩子过程一定要位于某个DLL内部
HINSTANCEhMod,// handle to application instance 钩子过程的DLL句柄（为NULL则是局部钩子）
...
0x01 项目说明
实现在内存中对dll的加载和卸载
0x02 软件展示
0x03 代码展示
// TestInjectProcess.cpp : Defines the entry point for the application.
//
#include "stdafx.h"
#include "resource.h"
#include <Windows.h>
#include <Tlhelp32.h>
#include <assert.h>
#include &...
一、DLL注入
DLL的远程注入技术是目前Win32病毒广泛使用的一种技术。使用这种技术的病毒体通常位于一个DLL中，在系统启动的时候，一个EXE程序会将这个DLL加载至某些系统进程（如Explorer.exe）中运行。
这样一来，普通的进程管理器就很难发现这种病毒了，而且即使发现了也很难清除，因为只要病毒寄生的进程不终止运行，那么这个DLL就不会在内存中卸载，
用户也就无法在资源管理器中删除这个DLL文件，真可谓一箭双雕哉。记得2003年QQ尾巴病毒肆虐的时候，就已经有些尾巴病毒的变种在使用这种技术了。
到了2004年初，我曾经尝试着仿真了一个QQ尾巴病毒，但独是跳过了DL...
一、远程线程注入基本原理
远程线程注入——相信对Windows底层编程和系统安全熟悉的人并不陌生，其主要核心在于一个Windows API函数CreateRemoteThread，通过它可以在另外一个进程中注入一个线程并执行。在提供便利的同时，正是因为如此，使得系统内部出现了安全隐患。常用的注入手段有两种：一种是远程的dll的注入，另一种是远程代码的注入。后者相对起来更加隐蔽，也更难被杀软检测。本文具体实现这两种操作，在介绍相关API使用的同时，也会解决由此引发的一些问题。
顾名思义，远程线程注入就是在非本地进程中创建一个新的线程。相比而言，本地创建线程的方法很简单，系...
简单测试基址
1 ---
EAX=0000000B
EBX=00097E68
ECX=00000000
EDX=0000000B
ESI=00058338
EDI=005DF300
EBP=0160F768
ESP=0160F730
EIP=00425EBF
Probable base pointer =00058338
00425EB2 - mov eax,00000FA0
00425EB7 - call Tutorial-i386.exe+E6F0
---------00425EBC - mov [esi+18],eax
004...
0x001 易语言模拟了一个登录框
展示:
0x002 使用win32 模拟登录测试
全部代码:
// 20180117_01.cpp : Defines the entry point for the application.
//WTWindow
#include "stdafx.h"
#include <windows.h>
BOOL isStart=FALSE;
//登录
void QQLogin()
{
TCHAR szTitle[MAX_PATH...
类似案件按键精灵的东西，直接上代码
// 20180116_02.cpp : Defines the entry point for the application.
//
#include "stdafx.h"
#include <windows.h>
#include <stdio.h>
//FindWindow
void test1()
{
TCHAR szTitle[MAX_PATH]={0};
HWND hwnd = FindWindow(TEXT("WTWindow"),TEXT("用户名 采集 V1.0...
20180115.rar
0x001
写了一个多星期了
大多参考的时课程，以及红色病毒的代码
还有很多的知识点不太理解
模模糊糊的写出来了， 中间也遇到了很多困难，
字节贴关键代码吧
我把工程文件也附加上
// TestShell.cpp : Defines the entry point for the application.
//
#include "stdafx.h"
#include <windows.h>
#include ...
早上起来忙了两个小时, 主要参考的红色病毒的代码,一直在更改中
还有四步才能实现
帖一下半成品的代码
// TestShell.cpp : Defines the entry point for the application.
//
#include "stdafx.h"
#include <windows.h>
#include <stdio.h>
#include <stdlib.h>
#include "PEOperate.h"
/*
以挂起的形式创建进程，
获取Conte...
还不完整, 继续整理中
// TestShell.cpp : Defines the entry point for the application.
//
#include "stdafx.h"
#include <windows.h>
#include <stdio.h>
#include <stdlib.h>
#include "PEOperate.h"
/*
以挂起的形式创建进程，
获取Context
*/
#define KEY 0x56
#pragma pack(push...
文章地址:https://zhuanlan.zhihu.com/p/28671064
进程注入是一种广泛应用于恶意软件和无文件攻击中的逃避技术，这需要在另一个进程的地址空间内运行自定义代码。进程注入提高了隐蔽性，一些技术也实现了持久性。 尽管有许多流程注入技术，在本博客中，我提供了十种在现实看到注入另一个进程运行恶意代码的技术。 我还提供了许多这些技术的屏幕截图，以便于逆向工程和恶意软件分析，协助针对这些常见技术进行检测和防御。
1. 经典的DLL注入方式：通过CREATEREMOTETHREAD和LOADLIBRARY进行注入
...