分类一线开发下的文章 - 白帽Wiki

游戏安全 C/C++汇编

rdtsc检测,出现问题立刻调用KeAccumulateTicks蓝屏:
```cpp
push    rbx
sub     rsp, 20h
rdtsc
shl     rdx, 20h
or      rax, rdx
mov     [rsp], rax
xor     eax, eax
xor     ecx, ecx
cpuid
lea     r8, [rsp+10h]
mov     [r8], eax
mov     [r8+4], ebx
mov     [r8+8], ecx
mov     [r8+0Ch], edx
rdtsc
shl     rdx, 20h
or      rax, rdx
mov     [rsp+8], rax
mov     rax, [rsp]
mov     rcx, [rsp+8]
sub     rcx, rax
mov     rax, rcx
add     rsp, 20h
pop     rbx
```
wrmsr检测:
```cpp
push    rbp
push    rcx
push    r9
movzx   r9, bp
push    r13
movsxd  r9, r11d
movsx   r9w, bl
xchg    r9b, r9b
push    r14
movzx   r9w, spl
cmovno  r9d, r9d
movsx   r9d, dx
push    rdi
setz    r9b
movsx   edi, di
push    r8
movsx   r9, r10w
movzx   r9, di
mov     ax, ss
pushfq
or      dword ptr [rsp], 100h
popfq
and     eax, 0FFFFFEFFh
wrmsr
pushfq
mov     ss, ax
icebp
rdmsr
pushfq
push	r10
and     dword ptr [rsp], 0FFFFFEFFh
popfq
push    rdx
push    rax
push    r15
push    rsi
mov     ecx, 0C0000084h
or      dword ptr [rsp], 100h
popfq
syscall
mov     r10, rcx
mov     ecx, 0C0000084h
pop     rax
pop     rdx
push    r12
push    rbx
wrmsr与syscall
mov     rax, r10
xor 	eax, eax
inc 	eax
ror     r9d, 1
not     r9d
rol     r9d, 1
xor     r9d, 529C0010h
push    r10
add     r10, rbx
bswap   r10w
xor     [rsp+210h+var_210], r9d
shld    r10, r9, 0B4h
rcl     r10, cl
bsf     r10, rbp
pop     r10
jmp     loc_14033A00E
```

阅读全文

2021-02-25 huoji 0 条评论

python 一线开发

[2021]一些常见的机器视觉用到的神经网络结构(keras)

收藏一些常见的机器视觉用到的神经网络结构,以后不用自己构造网络了!
这些都咋用呢? 我已经写好祖传代码了:
```python
def build_save_model(train_data, test_data):
    # 构建模型 CBAPD
    network_model = VGG16()

network_model.compile(optimizer='adam',
                          loss=tensorflow.keras.losses.SparseCategoricalCrossentropy(
                              from_logits=False),
                          metrics=['accuracy'])
    #cp_callback = tensorflow.keras.callbacks.ModelCheckpoint(filepath=checkpoint_save_path,save_weights_only=True,save_best_only=True)
    # 如果要保存点自己在fit加这个参数
    # callbacks=[cp_callback]
    #checkpoint_save_path = "./checkpoint.ckpt"
    # if os.path.exists(checkpoint_save_path + '.index'):
    #    print('-------------load the model-----------------')
    #    network_model.load_weights(checkpoint_save_path)
    network_model.fit(train_data, epochs=100,
                      validation_data=test_data, batch_size=64)
    network_model.summary()
    network_model.evaluate(test_data)
    tensorflow.saved_model.save(
        network_model, '\\model\\')
```
VGG网络:

阅读全文

2021-02-24 huoji 0 条评论

二进制安全游戏安全 C/C++汇编

[2021]解决掉一些常见的hypervisor检测向量

阅读全文

2021-02-24 huoji 0 条评论

C/C++一线开发汇编

[2021]基于hypervisor的HIPS架构从0到1(VT部分)

阅读全文

2021-02-24 huoji 0 条评论

工具软件二进制安全 C/C++一线开发汇编 Shellcode

[2021]一个简单寻找无文件落地后门与内存免杀shellcode的工具

# DuckMemoryScan
一个简单寻找无文件落地后门的工具,由huoji花了1天编写,编写时间2021-02-24
一个简单寻找包括不限于iis劫持,无文件木马,shellcode免杀后门的工具,由huoji花了1天编写,编写时间2021-02-24
!!!本程序需要64位编译才能回溯x64的程序堆栈,请勿执行32位编译!!!
!!!本工具不能代替杀毒软件!!!

# 运行截图
![演示图片.png](https://key08.com/usr/uploads/2021/02/755527114.png)

# 功能列表
1. HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩
2. 内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)
3. 可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])
4. 无文件落地木马检测(检测所有已知内存加载木马)
5. 简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)
6. 检测异常模块,检测绝大部分如"iis劫持"的后门(2021年2月26日新增)

# 免杀木马检测原理:
所有所谓的内存免杀后门大部分基于"VirtualAlloc"函数申请内存 之后通过各种莫名其妙的xor甚至是aes加密去混淆shellcode达到"免杀"效果.
本工具通过线程堆栈回溯方法(StackWalkEx函数)遍历线程,寻找系统中在VirtualAlloc区域执行代码的区域,从而揪出"免杀木马"
当然也会存在误报,多常见于加壳程序也会申请VirtualAlloc分配内存.
但大部分普通程序均不会在VirtualAlloc区域内执行代码.一般都是在.text区段内执行代码

# 无文件落地木马检测原理:
所有无文件落地木马都是一个标准PE文件被映射到内存中,主要特征如下:
1. 内存区段有M.Z标志
2. 线程指向一个NOIMAGE内存
本工具将会通过第一种特征检测出所有"无文件落地木马"

# 异常模块检测原理
本工具将会扫描所有带签名程序的模块列表并且检测其中模块是否存在签名,如果不存在则发出提示.本检测存在较多误报,但将会检测到类似IIS劫持的特殊模块

# 使用方式
编译 运行 得到信息列表

# 检测出疑似后门后怎么做?
使用其他工具比如Scylla dump内存做进一步分析,本工具不打算做内存dump系列操作(时间有限不想重复造轮子)

# 如何让堆栈回溯更精准
目前工具只回溯rip与eip,你可以回溯RSP或者EBP 只需修改StackFarmeEx.AddrPC.Offset即可

# 使用方式
编译 运行 得到信息列表

# 追踪这个项目
https://github.com/huoji120/DuckMemoryScan

阅读全文

2021-02-24 huoji 0 条评论

工具软件二进制安全 C/C++一线开发汇编

[2021]基于unicorn engine的反病毒虚拟机&程序沙箱

阅读全文

2021-02-23 huoji 0 条评论

白帽Wiki

huoji

白帽Wiki - 一个简单的wiki

[2021]过反截图,截图中隐藏自己

[2021]瓦罗兰Hypervisor检测

[2021]一些常见的机器视觉用到的神经网络结构(keras)

[2021]解决掉一些常见的hypervisor检测向量

[2021]基于hypervisor的HIPS架构从0到1(VT部分)

[2021]一个简单寻找无文件落地后门与内存免杀shellcode的工具

[2021]基于unicorn engine的反病毒虚拟机&程序沙箱