本项目不会提供漏洞驱动利用代码，如欲使用本工具，请自行实现内核原语

本文介绍一种绕过Windows DSE（Driver Signature Enforcement）的方法

原理：

• 将 …

references:

• https://go.dev/blog/context

介绍

在go服务中，每一个进来的请求都由自己的goroutine来负责处理，请求处理器经常启动额外的goroutine来访问后端服务，比如服务器或者RPC服务

一般情况下 …

本篇文章为个人笔记，仓库暂时为私有状态

代码仓库

我们先进入这个commit状态的代码进行测试

我们启动驱动，然后使用用 …

参考链接：

• https://www.codeproject.com/articles/Introduction-to-RPC-Part-2
• https://github.com/ivellioscolin/NCALRPC_example/tree/master

本文所有压缩包的密码都是1，使用VS2017进行编译

项目文件

reactos_rpcrt4_test_code

使用reactos的rpcrt4.dll作为运行时来调试rpc的内部实现原理

下图中的 …

cfg如何工作

reference：

• https://www.powerofcommunity.net/poc2014/mj0011.pdf
• https://windows-internals.com/understanding-a-new-mitigation-module-tampering-protection/

在阅读upx源码的时候发现默认不支持开启了cfg的pe文件，比如尝试给notepad.exe加壳就会出现报错

看一下cfg是如何实现的

cfg可以在vs的编译选项中开启

这里有一个使用了间接调用的示例代码

开启cfg

关 …

references:

• https://github.com/koutto/ioctlbf

在代码中我们可以看到他是这样获取ioctl的起始和终止范围的：

beginIoctl = (DWORD)parseHex(singleIoctl) & 0xffffc000;
endIoctl = ((DWORD)parseHex(singleIoctl) & 0xffffc000) | 0x00003fff;

那他为什么这样写呢，这就和ioctl的编码方式有关了

Lookaside Lists

this structure is used for optimization, when fixed-size allocations are needed

we all know that allocate and free memory is expensive, so for this kind of fixed-size allocation, we just don't really free the memory we allocated, we just mark it as available

so when the next time …

references：

• Named Pipes

基本概念

命名管道的实例

所谓命名管道是一个存在于server和client之间的一个单工/双工通信管道，一个命名管道可以拥有多个实例，这些实 …

references：

• https://www.apriorit.com/dev-blog/675-driver-windows-minifilter-driver-development-tutorial

前面讲到的windows文件系统过滤驱动代码比较多，而且容易出错，所以微软推出了minifilter框架，来让开发者更专注于业务逻辑，一些重复性的繁杂的代 …

references:

• https://learn.microsoft.com/EN-US/windows-hardware/drivers/devtest/event-tracing-for-windows--etw

• https://github.com/microsoft/Windows-driver-samples/tree/main/general/tracing/evntdrv

• https://learn.microsoft.com/en-us/windows/win32/wes/writing-an-instrumentation-manifest

• THE WORST API EVER MADE

约定：

• IMF ----> instrumentation manifest

ETW全称为Event Tracing for Windows

ETW中有三个重要的概念：