http://blog.csdn.net/donger_soft/article/details/44838109 查看上述博客即可。 需要安装好Visual Studio，然后找到vcvarsall.bat的路径。注册表弄好就可以安装了。

http://www.mutepig.club/index.php/archives/61/ 这里是原理的推导，下面根据dalao的writeup，贴出py代码 看雪CTF秋季赛第四题NearJMP的writeup def guess(i): p.sendline('5') p.recvuntil('> ') p.sendline(str(i)) res = p.recvline() p.recvuntil('> ') num = res.split()[-1][:-1] return int(num) pr...

这个题和这次秋季赛的第四题很类似，都是利用的堆的unlink来溢出，然后system（“/bin/sh”）来提权的 所以打算先学习这个，然后再去自己做秋季赛第四题 官方writeup和题目下载链接 主要是看了这篇writeup：double free解法 double free，就是free两次（废话） 先来分析程序流程，再来说double free是个什么原理 name是提示我们输入的，menu是显示程序几个主要功能的选择项的（一般的pwn题都是这种格式） 点开menu，看到这个 结合IDA分析功能，1是创建新的堆块，2是删除，3是修改堆块内容，4没用 ...

题目下载链接：https://ctf.pediy.com/game-fight-34.htm 上一篇题解是学习的poyoten的姿势，这个呢，是学习到了loudy大神的姿势 题解在这：https://bbs.pediy.com/thread-218318.htm 首先呢：要把sys_rva和put_rva以及free_rva换成本地libc的偏移值，姿势如图 按照第一篇的方法，给代码加上gdb断点 gdb.attach(p, 'b *0x400ce9 \nb *0x400d01 \nb *0x400b62') 然后看看程序在运行的时候发生了什么 首先是多个crea...

前一阵时间把自己的LINUX虚拟机玩崩溃了，导致啥也干不了，镜像也没有留好，需要全部重新弄一遍。留下个记录来比较好。。。 A：下载个64位的ISO镜像 B：到根目录安装好git   cd ~ sudo apt-get install git C：配置vim成8.0（为了方便安装vim的各种IDE插件）   sudo add-apt-repository ppa:jonathonf/vim sudo apt update sudo apt install vim D：安装补全插件YouCompleteMe http://blog.csdn.net/eagleqin...

其实这个是个只需要用IDA的题 查找字符串 - 看到Congratulations和wrong，找到401080这个处理函数 这里被IDA的字符串命名所干扰了，&v4表示的是input的一部分，&v5同理 String在变量定义中是一个char，但是表示的是字符串的地址，那么拿来比较的时候就是首字符 v3就是第二个字符 然后另一个地方，a5y和aR3versing这两个，是两个可以戳进去看到的常量字符串~~~

参考的writeup在这： https://www.ichunqiu.com/writeup/detail/517 使用的代码为py： ''' f = open('data.txt') num = 0 a = [] for line in f: print line,line[1] if line[1] == '0': a.append('?') else: a.append(line[1]) print a for i in xrange(0,len(a)): print a[i], if i % 9 == 8: print ''' f1 = open(...

工具： OD（Ollydump插件），PEID，LordPE，ImportReconstructor 脱壳源文件：恶意代码分析实战第一章课后实验01-02.exe 先使用PEID查壳： 可以发现是UPX的壳 UPX的壳有几种很方便的脱壳方法 脱壳的基本思路：找到OEP，恢复IAT，DUMP内存 方法一：pushad+popad UPX的壳的标志性特征是：在外壳的第一条指令是pushad pushad所对应的就会有popad 所以我们在OD中使用查找功能，查找popad（Ctrl+F） 第一个找到了这个 这个不是我们需要的（两个方式来看：1.p...

很多壳是没法用Ollydump弄好的，所以需要用其他的工具 这里的工具是：PETools和Import REConstructor 先按照UPX脱壳的方法，找到OEP 现在已经到达了OEP 用PETools来实现程序的DUMP 找到对应的程序，完整转存，保存好久可以运行了~~~ 但是，当我们换个版本的PETools~ dump成功后，运行程序 程序竟然报错了~~~ （论工具的重要性） 这个时候就需要用到Import REC了 首先在程序里找到IAT的位置 先点击自动查找IAT，获取输入表 然后手动检查下：OEP应该是000010...

在网上找几个unpackme来训练 FSG1.31的壳 先F12让程序暂停，然后使用SFX法 Ctrl+F2重启，然后F9！ SFX脱壳大法好~ 这里就是OEP了，55 8B EC其实就是 在这里使用Ollydump就好~ 脱壳成功了哇~ FSG1.31属于简单壳（和UPX一样），可以使用F8大法脱壳，但是循环的嵌套层数比UPX多也更烦，在用F8+F4绕出循环的时候经常会跳转回去，所以更要有耐心 比如这个retn，是从803E跳转到了8011，实际上是往前跳的（所以不能在803E按下F4，要在803F按下F4） 注意到这里标记红线的两个地...

0101分析 这里可以查看到时间戳 如上图，使用PEiD可以侦测壳，发现这个DLL和EXE都是无壳的，VC++6.0编译的 接着使用IDA对代码进行简单的静态分析 先分析DLL： OpenMutex和CreateMutex说明是多客户端 CreateProcess说明在远端的服务器有在本地开启进程的权限 这里可以看到恶意代码服务端的IP地址：127.26.152.13 再分析EXE： 查看Imports表： CreateFile：在本地创建文件的权限 CopyFile：在本地复制文件的权限 FindFirstFile和FindNextFile：...

先查壳 看到PEncrypt 3.1 Final -> junkcode的壳，没见过。上次下载的万能脱壳机脱不下来这个 于是网上先找了一波脱壳教程 https://bbs.pediy.com/thread-90089.htm 找到了这个脱壳的案例和教程，链接底下也有demo下载可供调试（学会了这个用这种方式还是脱不下来这个题的） 最后想到了内存DUMP的办法，即使我不能把这个恶意代码脱壳，但是可以找到类似OEP的地方，它已经在内存中解码释放完毕了（一定要在虚拟机的快照里做），然后用IDA静态分析这个exe即可。动态分析跑不起来，IAT表对不上 记录一下F8大法...

同样先查壳 然后查看字符串 接下来使用IDA进行分析，因为是未加壳的代码，程序功能可以很轻松的通过程序逻辑以及调用的API函数来分析 10003415函数块分析 看到这些关键函数就知道了功能的 首先，InternetOpen，InternetConnect是使用HTTP协议进行互联网的访问操作 HttpOpenRequest，HttpSendRequest是http请求操作，可能是从网站是查询或者下载某些资源 InternelReadFile是从远程URL上读取服务端文件 GetTempPath和GetLongPathName是读取本地的目录路径 fwri...

这个照例还是先查壳，VC++6.0的 然后使用IDA静态分析Imports和Exports，对几个关键函数进行简单静态分析 问题1：使用工具Process Explorer监视 根据问题的提示，打开Process Explorer，双击运行程序，发现了这个 在程序运行时，调用了svchost.exe。这个二进制程序是个系统文件，结合IDA静态分析，很有可能对这个程序做了恶意修改 这里是main函数中对svchost.exe程序的寻找 这里是使用了GetSystemDirectory，这个函数能取得Windows系统目录（System目录）的完整路径名。在这个目录中，...