c++ 写x64汇编 5参数_怀念9年前用纯C和汇编写的入侵检测软件

60214b72db831c9341d58a5f1dff019f.png

在翻出12年前用C#写的自我管理软件之后,进一步激发了本猫的怀旧情怀。

上一篇在此:

竟然无意间翻出12年前自己用C#写的程序

这不,昨天竟然又找出2010年写的一款Windows系统入侵检测及防御小工具,当时命名是:NtInfoGuy!

428ca8802b93b88a7be1dc95c5de1ba8.gif

对于Windows的内部,本猫觉得有太多的东西需要了解,认知。

本猫非凡的、从不知足的探求本性驱使自己要拨开迷雾得见青天...

太多的木马,病毒,Rootkit隐藏在系统中,这需要我们去侦查、洞悉。对于一些系统程序员来说,了解当前NT系统的内部状态,信息同样也是相当有用和重要的。(反正当时本猫是这么想的)

虽然有不少这样的小工具, 但是它们都只是涉及到系统信息的各个不同子集。在这样一个背景下非常有必要(本猫YY的...)有一个可以查看NT系统完整状态信息的工具,于是NtInfoGuy应运而生了。

9a8f40e9e7758b34e8e6e07d2c368ce8.png

你是闲得蛋疼吗???

这个东东不是从石头中蹦出来的,却是从大熊猫脑海中逐渐浮现出来的。该工具采用控制台开发,当时觉得有精力的话可能会转成GUI的方式,不过现在看来估计永远也不会了...

968f89883c8af76b96a2d6040fa34417.gif

我记得当时程序兼容的系统有:

 Win2k(sp4),Winxp(sp3),Win2k3(sp2),Vista,Windows7(9年前啊!!!)

NtInfoGuy全部由C加上少量汇编开发而成,当时使用C+汇编的感觉真是爽爆了!!!

bfeaec07eb599da7ef72a4ddb0c9b1bf.png

下面是几张实际运行的截图:

731143f8f57da9f4f92240b13f22616b.png
4698a3a1dee0c7750b322fd2302aadcc.png
66a91db697260d67a1d2bd54e96ef820.png

NtInfoGuy已实现的功能我简单回忆了一下,有下面这些:

1 显示系统SSDT表,SSDT Shadow表并且尝试寻找可能的服务表项钩子,红色标示出了可能的钩子;

376a84a642924492f5ed1ad59b7b2eae.png

2 显示系统GDT表,并且显示各个表项的属性;

215807b48123095a0d420567b5fc16d3.png

3 显示系统IDT表,并且显示各个门的属性;

a4aad3aed9d665efb09ab9ee15c13335.png

4 显示当前系统加载模块的信息,并且可识别出windows可信任模块;

红字表示不受信任的模块或在磁盘上未找到的模块。

54822f813727868b5164de297043fbf6.png

5 直接从内核中获取系统加载模块的信息,在DbgView中显示;

39b09bd0075ec32c31ae56e33d53364b.png

6 显示系统各个主要部件内核变量的值.

当然觉得这还远远不够,下面是本猫当时还准备添加的功能:

  • 1 准备再添加Inline Hook的识别,以及将Hook还原的功能;
  • 2 将内核地址对应到一个区域中,比如一个驱动,换页池,非换页池等;
  • 3 显示指定位置内核代码的反汇编;
  • 4 增加GUI,可能用SDK,也可能用VB,C#等等语言来写;
  • 5 更加全面的内核变量的显示,目前只是显示了内存管理器的内核变量。
  • 希望有兴趣的童鞋可以参与进来。如果你一直是单干的程序员,甚至不是专业的程序员,但对编程有狂热的兴趣,想感受结对编程的乐趣,请和熊猫偶联系。如果你不懂系统编程,但是界面设计很有一手也可以加入。这个工具只是一个雏形,希望可以有更成熟的表现。 (也是自我YY么???)

下面是9年前写的使用说明,可以看到当时伪装成入侵防御软件的木马病毒有多猖狂,人与人还得相互信任啊!!!

程序说明 :

  • 1 首先熊猫以人格担保代码里无任何木马,病毒,RootKit等无聊东东;
  • 2 我写的代码是NtInfoGuy.exe和NtInfoGuy.dll加起来不到60KB,其他2个Dll是微软官方的调试
  • 以及符号服务库,在运行时是要使用的。如果你的系统中安装了新版的WinDbg,另外这两个Dll
  • 可以使用WinDbg目录中的新版本。
  • 3 程序需要加载驱动程序进入内核取得信息;
  • 4 程序需要自动连接到微软官方符号网站下载内核的符号文件,否则某些内核符号不能获得WinDbg下载符号文件是同样的道理。
  • 5 该程序可能有BUG、漏洞,可能会导致系统崩溃,请在非关键系统上运行。该程序带来的一切损失和熊猫无关哦。
  • 6 关于该程序的更多信息请观赏 : http://blog.csdn.net/mydo/archive/2010/0/17/5742188.aspx
  • 7 程序第一次运行时因为要下载NT符号文件可能比较慢,一旦符号下载完成,以后的运行都会很快.

我记得符号文件下载的位置就在程序当前路径的syms文件夹中,所以运行程序后会自动到微软调试服务器中下载调试符号文件,当时很多人以为是木马行为...人与人之间起码的相互信任呢???

e2ec808b2acb0a019eeac76923fbc396.gif

当时本猫还煞有其事开源了,开源了,开源了!!!

不过当时可没有GitHub啊!!!

NtInfoGuy下载地址 :

http://hopy.bokee.com/inc/NtInfoGuy.7z

NtInfoGuy的源代码还可以到看雪下载:

http://bbs.pediy.com/showthread.php?t=117432

最后想想本猫十几年前的自己,再看看现在的自己,感叹肥了一圈不说,那种天不怕地不怕的冲劲也淡了不少,所以说:种一棵树最好是10年前,其次就是现在!

大家是否也这样认为呢?

感谢观赏 ;)

4966eb60aae18c89da1cf18716e5b074.gif

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/506322.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

linux内核关闭网络巨帧xenomai,xenomai内核解析--双核系统调用(二)--应用如何区分xenomai/linux系统调用或服务...

版权声明:本文为本文为博主原创文章,转载请注明出处。如有错误,欢迎指正。1. 引出问题上一篇文章xenomai内核解析--双核系统调用(一)以X86处理器为例,分析了xenomai内核调用的流程,读了以后可能会觉得缺了点什么&#…

python怎么导入os模块_python之os模块

在自动化测试中,经常需要查找操作文件,比如说查找配置文件(从而读取配置文件的信息),查找测试报告(从而发送测试报告邮件),经常要对大量文件和大量路径进行操作,这就依赖…

linux7配置网卡绑定,CentOS7双网卡绑定配置

step1:创建绑定文件[rootnode-1 ~]# vi /etc/sysconfig/network-scripts/ifcfg-bond0TYPE"bond"BOOTPROTO"none"NAME"bond0"DEVICE"bond0"IPADDR"192.168.1.20"NETMASK"255.255.255.0"GATEWAY"192.168.1.1&q…

ubuntu复制文件到另一个文件夹_简单介绍一下电脑中的文件或文件夹的复制、移动及删除的操作方式...

大家好,我是波仔,今天又来跟各位学电脑基础的朋友们分享知识,让我们一起来学习吧。复制文件或文件夹在我们日常操作文件或文件夹的过程中,经常会遇到需要复制一些文件或文件夹什么的,下面我们就一起来分享一下常用的几…

Windows和linux提权方法,Windows与Linux本地用户提权体验(一)

无论是Windows系统还是linux系统都是基于权限控制的,其严格的用户等级和权限是系统安全的有力保证。这么严密的用户权限是否不可逾越呢?下面笔者反其道而行之进行Windows及Linux下的提权测试。一、windows下获取至高权限大家知道,在Windows系统中SYSTEM…

三相逆变器双pi控制器参数如何调节_光伏逆变器短路特性简析

1前言短路故障相对于其他故障类型来说是比较常见的,不同的设备的短路故障,大了讲都一样,细了说各有千秋,今天我们主要聊聊光伏逆变器的短路特征。电力系统中的电源,传统意义是指的是并入电力系统的同步发电机。但随着分…

linux安装多路径报错,Linux操作系统配置多路径通用教程(适用于(RHEL,CentOS,SuSE等)...

Linux操作系统配置多路径通用教程(适用于(RHEL,CentOS,SuSE等)猫先生 • 2019 年 06 月 01 日一,安装软件1,执行以下命令,检查当前系统中是否已经安装多路径工具:rpm -qa | grep device-mapper-multipathSuSE 系统 multipath 相关…

python脚本根据cookies自动登录网站_python实现带验证码网站的自动登陆实现代码...

早听说用python做网络爬虫非常方便,正好这几天单位也有这样的需求,需要登陆XX网站下载部分文档,于是自己亲身试验了一番,效果还不错。 本例所登录的某网站需要提供用户名,密码和验证码,在此使用了python的u…

鸟叔linux私房菜基础篇简体,鸟叔的Linux私房菜基础篇-学习笔记(一)

鸟叔的Linux私房菜基础篇-学习笔记(一)开机进入命令行模式:ctrlalt[F1-F6]的任意键进入命令行编辑界面ctrlaltF7进入图形界面模式开始下达指令[dmtsaistudy ~]$ command [-options] parameter1 parameter2 …一行指令中第一个输入的部分绝对是“指令(command)”或“可可执行文件…

net framework 3.5 安装错误_PageAdmin CMS建站系统报http403错误的解决方案

pageadmin CMS目前已经是国内用户最多的网站内容管理系统,但是很多新手第一次安装时候最常见的错误就是http403错误。针对这个错误,小编我整理出了常见的原因及解决方法原因1、后台站点绑定的域名和当前打开的域名不一致。解决办法:重装PageA…

linux怎么配置svn形式访问,linux服务器svn访问地址

弹性云服务器 ECS弹性云服务器(Elastic Cloud Server)是一种可随时自助获取、可弹性伸缩的云服务器,帮助用户打造可靠、安全、灵活、高效的应用环境,确保服务持久稳定运行,提升运维效率三年低至5折,多种配置可选了解详情什么是弹性…

java进程内存一直没释放_五分钟彻底搞懂你一直没明白的Linux内存管理

现在的服务器大部分都是运行在Linux上面的,所以,作为一个程序员有必要简单地了解一下系统是如何运行的。对于内存部分需要知道:地址映射内存管理的方式缺页异常先来看一些基本的知识,在进程看来,内存分为内核态和用户态…

c语言basic解释器,要理解解释器,做一个小解释器----小话c语言(20)

该楼层疑似违规已被系统折叠 隐藏此楼查看此楼}list->tail->next obj;list->tail obj;return obj;}void cc_arg_list_free(cc_arg_list *list){cc_arg_obj *head list->head;while(head){cc_arg_obj *next head->next;cc_arg_obj_free(head);head next;}}v…

ehcache使用_Mybatis整合(Redis、Ehcache)实现二级缓存,恕我直言,你不会

目的:Mybatis整合Ehcache实现二级缓存Mybatis整合Redis实现二级缓存Mybatis整合ehcache实现二级缓存ssm中整合ehcache在POM中导入相关依赖org.springframework spring-context-support ${spring.version}org.mybatis.caches mybatis-ehcache 1.1.0net.s…

c语言利用栈将字符串逆序输出,【C语言】利用栈将数组中字符串逆序

该楼层疑似违规已被系统折叠 隐藏此楼查看此楼#include"stdio.h"#include"stdlib.h"#define STACK_INIT_SIZE 100#define STACKINCREMENT 10typedef struct{char *base;char *top;int stacksize;}SqStack;main(){SqStack S;char a[4];int i;InitStack(&…

取证 c语言实现日志导出_日志与日志不一样:五种不能忽略的日志源

给日志源分出主次大有利于开展有效事件响应。就像分诊护士一样,安全人员也必须给数据分出个优先主次,以帮助他们更好地识别问题,使公司企业及其数据和设备能够避免入侵者和网络攻击的伤害。但是,记录和监视IT环境中的所有相关事件…

c语言 多文件 学生系统,编的学生成绩管理系统 从文件中读取保存数据总会多读入一组乱码数据...

该楼层疑似违规已被系统折叠 隐藏此楼查看此楼getch();return L;}}void SearchData(Stu L){Stu p;int num;pL->next;printf("Input the ID of the student you want to search:");scanf("%d",&num);while(p!NULL){if(p->numnum) { printf("…

codesoft指定打印机打印_巧用win32print来控制windows系统打印机并推送打印任务

小爬最近接到的一个需求是:将windows系统下的打印任务批量有序传输给网络打印机,实现批量有序打印。用户先从公司的OA(B/S模式)系统下 打印指定内容的表单以及表单中的附件内容。这个问题可以这样分解:1、抓包,得到OA对应的任务接…

c语言磁盘文件只有写没读,C语言的磁盘文件问题

匿名用户1级2010-04-06 回答C语言文件操作函数1,两种文件存取方式(输入,输出方式)顺序存取直接存取2,数据的两种存放形式文本文件二进制文件13.2文件指针定义文件类型指针变量的一般形式:FILE *指针变量名;例如:FILE *fp1,*fp2;13.3打开文件在使用文件之前,需打开文件.在C里使用…

crmeb pc端模板下载_PC端人人影视下载速度如何提高

首先下载最新版本的人人影视我的是这个,右下角版本号1022然后在下载设置那里把连接数调高一点大致就这样我的就是调了一下然后下载速度高了许多,刚开始只有1M左右的速度,现在4,5M每秒