1、 需要具备的理论知识 A、了解SSDT结构 B、由SSDT索引号获取当前函数地址 C、如何获取索引号 D、获取起源地址 -- 判断SSDT是否被HOOK E、如何向内核地址写入自己的代码 【178】打开 工具KernelDetective 对于内核NtOpenProcess函数，自己写 类似 s ...
分类：
其他好文 时间：
2016-04-01 14:50:10
阅读次数：
259
同学问过我进程体中EPROCESS的三条链断了怎么枚举模块，这也是也腾讯面试题。我当时听到也是懵逼的。 后来在网上看到了一些内存暴力枚举的方法ZwQueryVirtualMemory。 函数原型是 R0通过遍历SSDT获得函数地址。 我们要枚举进程模块信息, 需要用到两类内存信息MemoryBasi
分类：
系统相关 时间：
2016-03-22 18:53:15
阅读次数：
752
c++中多态的实现我们都知道，c++中的多态是在虚函数的基础上实现的，用指向派生类的基类指针调用派生类（或基类）中自己的成员函数。那么，具体是怎么实现的呢？其实它是通过虚函数表来实现的，虚函数表是保存虚函数地址的一张表，若一个类中有虚函数，当程序运行时，编译器通..
分类：
编程语言 时间：
2016-03-22 00:54:16
阅读次数：
431
C++类的设计中，如果某些函数没有显式定义，C++会自动生成，复制构造函数便是其中之一，其他的还有默认构造函数、赋值操作符、默认析构函数、地址操作符。一个类的复制构造函数的原型一般为： Class_name (const Class_name &); 一、何时调用复制构造函数 在新建一个对象并将其初
分类：
编程语言 时间：
2016-03-22 00:45:19
阅读次数：
182
Delphi回调函数及其使用 1 回调函数的概述 回调函数是这样一种机制：调用者在初始化一个对象（这里的对象是泛指，包括OOP中的对象、全局函数等）时，将一些参数传递给对象，同时将一个调用者可以访问的函数地址传递给该对象。这个函数就是调用者和被调用者之间的一种通知约定，当约定的事件发生时，被调用者（
学习要点: 1,函数地址的一般定义和typedef简化定义; 2,函数地址的获取; 3,A函数地址作为B函数参数的传递; 函数存放在内存的代码区域内，它们同样有地址.如果我们有一个int test(int a)的函数，那么，它的地址就是函数的名字，这一点如同数组一样，数组的名字就是数组的起始地址。
分类：
编程语言 时间：
2016-03-12 11:38:38
阅读次数：
147
C++ 虚函数表解析 陈皓 http://blog.csdn.net/haoel 前言 C++中的虚函数的作用主要是实现了多态的机制。关于多态，简而言之就是用父类型别的指针指向其子类的实例，然后通过父类的指针调用实际子类的成员函数。这种技术可以让父类的指针有“多种形态”，这是一种泛型技术。所谓泛型技
分类：
编程语言 时间：
2016-03-10 01:31:51
阅读次数：
301
1.C++虚函数的工作原理 虚函数（virtual function）需要虚函数表（virtual table）才能实现。如果一个类有函数声明成虚拟的，就会生成一个虚函数表，存放这个类的虚函数地址。若子类没有覆写虚函数，该子类的虚函数表就会存放父类的函数地址。调用这个虚函数时，就会通过虚函数表解析函
分类：
编程语言 时间：
2016-03-06 15:46:22
阅读次数：
166
“INT3”断点指令的机器码是 “0xcch” 检测思路，取函数地址，判断第一个字节是不是 “CCh” BYTE bFirst = 0; ProcAddres = GetProcAddress(LoadLibrary("user32.dll","MessageBox")); bFirst = *((
分类：
其他好文 时间：
2016-02-27 22:00:52
阅读次数：
181
获得内核函数地址的四种方法 本文以获取内核函数 sys_open()的地址为例。 1）从System.map文件中直接得到地址： $ grep sys_open /usr/src/linux/System.map 2)使用 nm 命令： $ nm vmlinuz | grep sys_open 3)
分类：
其他好文 时间：
2016-02-16 16:46:28
阅读次数：
138
