今天给大家介绍的是一款名叫Fibratus的开源工具，广大研究人员可以使用这款功能强大的工具来进行Windows内核漏洞利用、挖掘与跟踪。 Fibratus这款工具能够捕捉到绝大多数的Windows内核活动-进程/线程创建和终止，上下文转换，文件系统I/O，寄存器，网络活动以及DLL加载/卸载等等。 ...
1.内存空间布局 X86系统支持32位寻址，因此支持2^32=4GB的虚拟内存空间，windwos系统的内存主要分为内核空间和应用层空间 每部分占2GB，其中包括一个64KB的NULL空间以及非法区域。 windows内存的逻辑地址分为两部分： 段选择符和偏移地址，CPU在进行地址翻译的时候，先通过 ...
windows 内核下获取进程路径 windows 内核下获取进程路径 windows 内核下获取进程路径 windows 内核下获取进程路径 思路：1）：在EPROCESS结构中获取。此时要用到一个导出函数：PsGetProcessImageFileName，申明如下： NTSYSAPI UCHA ...
C#的每一个类型都代表一种资源，而资源又分为两类： 托管资源 由CLR管理分配和释放的资源，即从CLR里new出来的对象。 非托管资源 不受CLR管理的对象，如Windows内核对象，或者文件、数据库连接、套接字、COM对象等。 如果类型用到了非托管资源，或者需要显式释放托管资源，那么需要让类型继承 ...
分类：
其他好文 时间：
2018-08-26 11:51:25
阅读次数：
124
完整的程序在下载：http://download.csdn.net/detail/dijkstar/7913249 用户层创建的事件Event是一个Handle句柄，和内核中的创建的内核模式下的KEVENT是一个东西。因此，在应用层创建的事件，可以在内核层获得并使用。这一部分的原理，见张帆编著的《W ...
windows内核情景分析之—— KeRaiseIrql函数与KeLowerIrql()函数 1.KeRaiseIrql函数 这个 KeRaiseIrql() 只是简单地调用 hal 模块的 KfRaiseIrql() 函数，返回原来的 IRQL 写入 KeRaiseIrql() 的第 2 个参数里 ...
三层机制 1.顶端就是Windows内核。Windows内核维护着一个消息队列，第二级控制中心从这个消息队列中获取属于自己管辖的消息，后做出处理，有些消息直接处理掉，有些还要发送给下一级窗体(Window)或控件（Control） 2.第二级控制中心一般是各Windows应用程序的Applicati ...
在那遥远的MSDN上，有那么一只被隐藏的函数，它掌管着Windows内核威力不容小觑~ 本教程仅作为学习研究，禁止其他用途！ 富强、民主、文明、和谐， 自由、平等、公正、法治， 爱国、敬业、诚信、友善 一、准备工作 首先我们需要准备4只dll:需要引用using System.Runtime.Int ...
分类：
其他好文 时间：
2018-07-14 21:00:02
阅读次数：
172
