references:

• https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/wpp-software-tracing

• https://github.com/Microsoft/Windows-driver-samples/tree/main/general/tracing/tracedriver

约定：

• TMF --> trace message function

本章我们将会介绍如何使用WPP

WPP的全称为Windows software trace PreProcessor

他可以用来跟 …

references:

• Windows File System Filter Driver Development
• https://learn.microsoft.com/en-us/windows-hardware/drivers/ifs/creating-the-filter-device-object

windows提供了分层的驱动模型，过滤驱动位于IO请求和真正的负责处理该IO请求的驱动之间，可以捕获到IRP，从中获取必要的信息并进行必要的操作之后将 …

references：

• https://scorpiosoftware.net/2020/03/15/how-can-i-close-a-handle-in-another-process/

很多人熟悉ProcExp的关闭任意进程中句柄的能力，那么他是怎么完成这项任务的呢

标准的CloseHandle函数只能关闭当前进程的句柄

有两条路线 …

（所有压缩包的密码均为1）

references:

• https://www.patreon.com/posts/why-is-pe-entry-61343353
• ReflectiveDLLInjection

一直没有找到比较好的shellcode混淆方法，尝试过直接使用OLLVM来编译出asm文件，之后再进行链接，但是总是会 …

（所有压缩包的密码均为1）

references：

• http://sandsprite.com/CodeStuff/Understanding_imports.html
• https://github.com/stephenfewer/ReflectiveDLLInjection

如果你不熟悉PE文件中va和rva的概念，可以参考这里

其实PE文件的导入表非常好理解，只要看懂下面这张图就行 …

（所有压缩包的密码均为1）

参考文章：

• 0xpat.github.io
• unknowncheats

你需要在一台安装了VS2017的机器上进行下面的操作

准备工作，需要先安装python3，然后要安装cmake，然后下载这 …

references:

• http://www.winprog.org/tutorial/message_loop.html

excellent post

Message

windows message is just integers

#define WM_INITDIALOG                   0x0110
#define WM_COMMAND                      0x0111

#define WM_LBUTTONDOWN                  0x0201
....

messages are often used to communicate between windows

event like keyboard typing, mouse moving, etc will trigger the system send a message to correspond window …

references:

• https://docs.microsoft.com/en-us/dotnet/csharp/language-reference/operators/await

前言

最近在看一个使用.Net实现的Kerberos库的代码，全是C#代码，里面很多语法都不太懂，这里做一下记录

正文

废话不多 …

java中的枚举类有一个隐含的方法：values()

该方法会返回枚举类型的所有值

根据java官方文档的介绍，enum关键字的实现，编译器会在enum创建的时候自动加入几个特殊的方法

其中就有静态方法values()

另外枚举类还自动继承了java.lang.Enum这 …

该注解会生成带有参数的构造函数

这里的参数指的是所有final修饰的未初始化的字段以及使用了@NonNull注解修饰的字段

生成的构造函数，默认权限修饰符为public

下面为带注解的 …