IoT设备逆向工程中的函数识别
本文主要讨论IoT设备逆向工程中的函数识别、符号迁移问题，不考虑BinDiff、PatchDiff2等重型工具... » 阅读全文
离线生成/proc/kallsyms结果
标准kernel的源码是公开的，但很多手机、IoT设备的kernel有定制化开发，比如把一些加解密处理放进ke... » 阅读全文
远程SHELL中进程因TCP连接中断而失去控制的预防及救急方案
在一个SSH会话里执行vi，后因TCP连接中断而失去控制。重新登录后发现原SSH会话对应的伪终端还在，其中的v... » 阅读全文
ARM模式、THUMB模式若干工程实践问题
ARM架构中有一个CPSR寄存器，它的的bit-5是T位(Thumb state flag)，置1表示THUM... » 阅读全文
IDA中利用”Stack pointer”识别栈中数据
以32-bits ARM汇编为例，函数前四个形参通过r0-r3传递，第五形参通过栈传递，返回值在r0，返回地址... » 阅读全文
未知网络服务分析之调试技巧
本文分享一些未知网络服务调试经验，见仁见智。
*nix环境用户态memdump的几种方案
在*nix环境用户态对任意进程进行memdump的几种方案，不管用哪种办法，都只需要gcc，不需要复杂的SDK之流。
非常规手段上传下载二进制文件
文中演示了3种数据映射方案，有更多其他编解码方案，这3种够用了。前面介绍的都是bin与txt的相互转换，各种编码、解码。假设数据传输通道只有一个弱shell，有回显，可以通过copy/paste无损传输可打印字符。为了将不可打印字节传输过去，只能通过编解码进行数据映射。
关于x64/Win10中Shim机制的一次调试分析过程
有阵子给windbg写jscript插件，无意中在x64/Win10上发现一件事，执行notepad不从nt!... » 阅读全文
拦截C_*.NLS加载查看用户态调用栈回溯
以x64/Win10为例，mspaint.exe进程空间中会出现:
kd调试的某些技术原理
作者: Tarik Soulami 内核态调试时设置断点，与用户态调试时一样，在指定地址写入0xCC(int3... » 阅读全文
windbg jsprovider.dll的一个BUG
这是微软提供的一个windbg JavaScript插件例子: