Langouster 's Blog(虾 窝)http://www.langouster.com/欢迎来到“虾 窝” RainbowSoft Studio Z-Blog 2.0 bate Buildzh-CNCopyright langouster. Some Rights Reserved.   苏ICP备06046736号   Mon, 26 Dec 2011 09:36:20 +0800微软在X64中强推PatchGuard技术是一个失败langouster@163.com (langouster)http://www.langouster.com/HTML/128.htmlSun, 21 Aug 2011 12:41:42 +0800http://www.langouster.com/HTML/128.html微软在64位系统中强制加入了一项PatchGuard技术，它的作用是防止操作系统自身代码及一些关键数据被Hook或修改，当操作系统检测到这些修改时会引发一个蓝屏错误。

...

]]>驱动开发http://www.langouster.com/HTML/128.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=128http://www.langouster.com/cmd.asp?act=tb&id=128&key=1d43bc02虚拟地址转物理地址langouster@163.com (langouster)http://www.langouster.com/HTML/127.htmlFri, 19 Aug 2011 19:33:55 +0800http://www.langouster.com/HTML/127.html老规矩，高手莫进，方便自己日后查阅。

在开启PAE的情况下，转虚拟地址80871f24到物理地址。

kd> .formats 80871f24
Evaluate expression:
  Hex:     80871f24
  Decimal: -2138628316
  Octal:   20041617444
  Binary:  10000000 10000111 00011111 00100100

...]]>驱动开发http://www.langouster.com/HTML/127.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=127http://www.langouster.com/cmd.asp?act=tb&id=127&key=dda27dfe中断服务程序（ISR）的调用参数langouster@163.com (langouster)http://www.langouster.com/HTML/126.htmlFri, 19 Aug 2011 19:22:02 +0800http://www.langouster.com/HTML/126.html老规矩，高手莫进。方便自己日后查询

来看到执行到KiTrap01时的栈数据，首先下一个硬件断点ba e1 NtCreateThread，使KiTrap01函数能执行到，然后在KiTrap01下一个bp断点，千万不要下硬件断点，不然重入。

当执行到KiTrap01时，看栈内存，如下：

kd> dds esp
b9a4cd34  8094ad3a nt!NtCreateThread
b9a4cd38  00000008 cs段寄存器
b9a4cd3c  00000283 EFLags

...]]>驱动开发http://www.langouster.com/HTML/126.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=126http://www.langouster.com/cmd.asp?act=tb&id=126&key=25b55f28kpcr、prcb、tss、fs、trlangouster@163.com (langouster)http://www.langouster.com/HTML/125.htmlThu, 18 Aug 2011 19:40:41 +0800http://www.langouster.com/HTML/125.html给自己做个记号，方便日后查找。

在ring0中 fs:[0]指向KPCR，等于地址ffdff000，KPCR 叫CPU控制区（Processor Control Region），在线程调试时需要用到

在ring3中 fs:[0]指向TEB：

kd> dt _teb
nt!_TEB
   +0x000 NtTib            : _NT_TIB
   +0x01c EnvironmentPointer : Ptr32 Void
   +0x020 ClientId         : _CLIENT_ID
   +0x028 ActiveRpcHandle  : Ptr32 Void
   +0x02c ThreadLocalStoragePointer : Ptr32 Void
   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB

...

]]>驱动开发http://www.langouster.com/HTML/125.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=125http://www.langouster.com/cmd.asp?act=tb&id=125&key=25fe345e驱动回溯Ring3堆栈(高手莫进)langouster@163.com (langouster)http://www.langouster.com/HTML/124.htmlWed, 17 Aug 2011 18:08:47 +0800http://www.langouster.com/HTML/124.html都知道一般情况下从Ring3进入Ring0是通过sysenter或int 2e。下面以win2k3为例分析下Ring3进入Ring0栈变化，本文不讲具体代码。

分别在ntdll!KiFastSystemCall和nt!KiFastCallEntry以及nt!KiFastCallEntry中call SSDT的地方下线程条件断点，观察栈变化。

...]]>驱动开发http://www.langouster.com/HTML/124.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=124http://www.langouster.com/cmd.asp?act=tb&id=124&key=88e0f47c终于见识了内存条位错误导致的程序异常langouster@163.com (langouster)http://www.langouster.com/HTML/123.htmlSat, 13 Aug 2011 10:57:05 +0800http://www.langouster.com/HTML/123.html我们的xx软件中，有一个功能是代码校验，它会定时对内存计算Hash，并与原始的hash比较，检查是否被修改。

前两天有个用户来反馈这个功能一直误报，根据我们的经验一般是木马或外挂引起的，但是我们仔仔细细检查了他的系统，一切正常。后来不得不建议他重装系统，没想到的是重装系统后不装任何软件问题依旧。

于是我们专门为他做了一个特制的版本，这个版本会把异常时的内存数据完整dump到文件里，后来我们比较了异常前后的dump文件，发现就一个字节的差异，准确的说是一个数据位的差异，而且每次出异常时被修改的位置是不同的，这个诡异的问题纠结了我们团队整整几天。

...]]>其它技术http://www.langouster.com/HTML/123.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=123http://www.langouster.com/cmd.asp?act=tb&id=123&key=446fa02d刚创建了一个windbg群langouster@163.com (langouster)http://www.langouster.com/HTML/122.htmlWed, 10 Aug 2011 22:26:15 +0800http://www.langouster.com/HTML/122.html工作中Windbg用的比较多，在这方面慢慢摸索了几年，也略有心得，但正因为是一个人摸索的，很多方法可以能不是最好的方法。所以希望能和大家一起交流分享。

为吸引人气，在群创建初期，提供无偿分析dump服务（非工作时间）。

引用群内介绍“分享Windbg调试技术，dump分析技术，Windbg插件开发，以及各种软件排错技术。”

群QQ：169225649

...

]]>其它技术http://www.langouster.com/HTML/122.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=122http://www.langouster.com/cmd.asp?act=tb&id=122&key=129e2fc3中国银行安全控件伤不起langouster@163.com (langouster)http://www.langouster.com/HTML/121.htmlWed, 03 Aug 2011 14:59:20 +0800http://www.langouster.com/HTML/121.html今天拿到一个蓝屏文件，反映运行xx的时候打开中国银行登录页面就会蓝屏。

分析了一下，中国银行的控件写的实在太不专业的。

我们的XX Hook了SSDT中的NtOpenProcess,跳到88e06b40，

HProtect+0x1ab40:
88e06b40 e91ba6572f      jmp     Protector+0x1160 (b8381160)
88e06b45 e96ccf0200      jmp     HProtect+0x47ab6 (88e33ab6)  //这行是永远不应该执行到的。

...]]>驱动开发http://www.langouster.com/HTML/121.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=121http://www.langouster.com/cmd.asp?act=tb&id=121&key=9a8df906Windows CreateToolhelp32Snapshot函数Buglangouster@163.com (langouster)http://www.langouster.com/HTML/120.htmlWed, 27 Jul 2011 16:16:41 +0800http://www.langouster.com/HTML/120.html

当使用CreateToolhelp32Snapshot枚举进程时有可能导致程序崩溃，出错栈信息如下：

ntdll!RtlpChangeQueryDebugBufferTarget+0xf
ntdll!RtlDestroyQueryDebugBuffer+0x18
kernel32!ThpAllocateSnapshotSection+0x15b
kernel32!CreateToolhelp32Snapshot+0x49

...]]>Windows程序设计http://www.langouster.com/HTML/120.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=120http://www.langouster.com/cmd.asp?act=tb&id=120&key=da93f826VC程序查错之内存句柄泄露langouster@163.com (langouster)http://www.langouster.com/HTML/119.htmlMon, 09 May 2011 21:16:19 +0800http://www.langouster.com/HTML/119.html


一.先讲内存泄露

在MFC程序中，如果程序是调试模式经常会看到如下信息提示有内存泄露。

testdlg.cpp(108) : {1423} normal block at 0x003BF030, 100 bytes long。

这行表示的含义是，第1423次申请的内存没有释放，它还指出了申请的内存的起始地址与大小，它还告诉你是哪一行申请的内存。

在程序开头插入代码_CrtSetBreakAlloc(1423)，重新编译运行，当程序执行到第1423次申请内存时就会自动中断下来，这时就可以看到程序调用栈了。

...]]>Windows程序设计http://www.langouster.com/HTML/119.html#commenthttp://www.langouster.com/http://www.langouster.com/feed.asp?cmt=119http://www.langouster.com/cmd.asp?act=tb&id=119&key=7f7672fb