Ruiqy~

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 15.4 - 15.9。调试标志位反调试是最常见、也最适合作为入门复盘的一类：它不一定复杂，但能帮自己建立“系统结构字段、API 查询、运行状态差异”之间的联系。 1、内容范围 小节 主题 复盘重点 15.4 调试标志位反调试检测 1 PEB BeingDebugged 这类直接标志 15.5 调试标志位反调试检测 2 DebugPort / DebugObject 等查询类信息 15.6 调试标志位反调试检测 3 进程信息查询与返回值差异 15.7 调试标志位反调试检测 4 系统调试状态、内核调试相关信息 15.8 调试标志位反调试检测 5 NtGlobalFlag、堆调试标志等结构字段 15.9 调试标志位反调试检测 6 Heap Flag、校验位和综合判断 2、逐节复盘15.4 PEB BeingDebugged 类标志PEB 是每个用户态进程都能访问的重要结构，里面保存了进程环境相关信息。BeingDebugged 是常见调试标志，很多样本会直接读取这个字段来判断是否 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 16.0 - 16.3。断点是调试器的核心能力，反调试自然也会围绕断点做检测。学习重点是区分软件断点、硬件断点、内存断点的痕迹分别在哪里，以及样本如何通过异常或状态差异感知它们。 1、内容范围 小节 主题 复盘重点 16.0 硬件断点反调试检测 调试寄存器、线程上下文和异常事件 16.1 软件断点反调试检测 INT 3 字节、代码完整性和断点恢复 16.2 内存断点反调试检测 页保护、访问异常和内存监控 16.3 动态监测与反调试 运行时状态变化、时间窗口和事件关联 2、逐节复盘16.0 硬件断点反调试检测硬件断点依赖 CPU 调试寄存器。它不一定修改目标代码字节，但会改变线程上下文。复盘时要关注当前线程和相关线程的调试寄存器状态。 项目 说明 DR0-DR3 记录断点地址 DR6 记录断点命中状态 DR7 控制断点启用和类型 线程上下文 断点通常与具体线程有关 16.1 软件断点反调试检测软件断点常通过替换目标地址处的指令字节来触发异常。典型表现 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 16.4 - 16.9。这一组内容把反调试从“看标志位、看断点”推进到“观察异常处理差异和系统对象查询”。异常类反调试的关键是：同一个异常，在有无调试器、不同调试器、不同异常处理链下，可能表现不同。 1、内容范围 小节 主题 复盘重点 16.4 异常反调试检测 1：Filter 异常过滤表达式、处理路径和返回值差异 16.5 异常反调试检测 2：Interrupt 中断类异常、调试器接管和事件表现 16.6 异常反调试检测 3：Interrupt 类似异常在不同上下文下的分发差异 16.7 异常反调试检测 4：Trap Trap Flag、单步异常和调试器行为 16.8 异常反调试检测 5：Guard Guard Page、访问异常和页保护状态 16.9 对象查询反调试检测 调试对象、调试端口和系统对象查询 2、逐节复盘16.4 异常过滤表达式异常过滤表达式决定异常是否被当前处理器接收。样本可能通过故意触发异常，再观察过滤器、调试器和系统分发路径来判断环境。 项目 说 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 13.6 - 14.3。ETW 是 Windows 里很重要的事件跟踪机制，适合从防护和审计角度观察进程、线程、模块、文件、网络、内核行为等事件。前面的攻防技术如果只看单点，很容易漏掉；ETW 的价值是把行为放进时间线。 1、内容范围 小节 主题 复盘重点 13.6 Event Tracing for Windows Provider、Session、Event、Consumer 的基本关系 13.7 日志信息记录管理 日志格式、字段规范、时间戳和输出策略 13.8 主线程交互框架及初始化流程 命令输入、会话配置、启动停止和资源状态 13.9 事件跟踪记录初始化 选择 Provider、设置过滤条件和准备回调 14.0 管理事件启动与释放资源 开启会话、停止会话、释放句柄和异常清理 14.1 进程事件监听及回调消息处理 监听进程创建、退出和相关事件 14.2 监听回调派遣及 opcode 过滤 按事件类型、opcode 和关键字段分流 14.3 进程监听及 event 数据提 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 02.0 - 02.3，主题是远程线程注入。这里不整理可直接执行的注入步骤，只把它放在 Windows 正常机制下理解：进程可以拥有自己的地址空间，线程负责执行代码，跨进程操作一旦出现，就会带来权限、句柄、内存和线程入口等可观察痕迹。 1、内容范围 小节 主题 02.0 远程线程注入思路 02.1 通用代码框架封装 02.2 远程线程注入实现 02.3 跨进程调试及执行数据分析 1.1、逐节复盘 小节 主要内容 复盘点 02.0 从进程地址空间、远程内存和线程入口理解远程线程类技术 画清楚“打开目标进程 → 准备远程数据 → 触发线程执行 → 观察结果”的行为链，但不记录可照抄执行的步骤 02.1 把实验程序拆成输入校验、进程枚举、日志记录、错误处理等通用模块 重点检查 PID、架构、权限、路径和错误码是否都能被记录 02.2 在授权样本中观察跨进程内存、线程和模块状态变化 关注目标进程新增内存区、线程入口、页属性和模块来源 02.3 使用调试器和日志把执行 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 02.4 - 02.9，把重点放在线程上下文和异步执行模型上。远程线程是“新建执行流”，劫持线程与 APC 更强调“影响已有线程何时执行、执行到哪里、执行什么回调”。 1、内容范围 小节 主题 02.4 劫持线程注入思路 02.5 线程上下文环境修改与执行载体搭建 02.6 劫持线程注入执行流程 02.7 APC 调用触发机制 02.8 用户层 APC 队列 02.9 基于线程的简易注入汇总 1.1、逐节复盘 小节 主要内容 复盘点 02.4 理解劫持线程的核心：暂停线程、读取上下文、改变执行流、恢复运行 复盘时只记录线程上下文变化和风险，不写可直接劫持的操作流程 02.5 观察线程上下文中寄存器、栈和执行地址的含义 重点检查架构、调用约定、栈对齐和恢复后的稳定性 02.6 梳理劫持线程执行链路与失败原因 关注线程状态、恢复时机、异常退出和目标程序是否被破坏 02.7 认识 APC 的触发条件和线程 Alertable 状态 复盘 APC 是否真正执 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 03.0 - 03.4。它的关键词是“更早的执行时机”和“系统级配置触发”。相比单次线程实验，这类机制更容易牵涉持久化、全局影响和系统配置风险，所以笔记只保留合法实验与检测视角。 1、内容范围 小节 主题 03.0 进程挂起执行及对应安全检测 03.1 早鸟执行实现原理与流程 03.2 AppInit_DLLs 03.3 注册表操作与 REG 文件定义 03.4 键值写入与命令行验证方法 1.1、逐节复盘 小节 主要内容 复盘点 03.0 理解进程挂起启动和早期执行窗口 观察进程创建参数、挂起状态、主线程恢复时机和父子关系 03.1 复盘早鸟执行的整体流程与检测点 重点看进程还没正常运行前是否出现异常内存、线程或 APC 行为 03.2 认识 AppInit_DLLs 这类全局加载机制 从历史机制和兼容性角度理解，不作为推荐实践 03.3 了解注册表配置如何影响全局加载行为 记录键路径、值类型、权限和是否会造成系统级影响 03.4 用命令行和日志验证 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 03.5 - 03.9，核心是 Windows 消息机制和共享内存映射。Hook 和内存映射都是系统正常能力，安全复盘时要关注它们在跨进程场景下带来的加载、消息、回调和共享数据痕迹。 1、内容范围 小节 主题 03.5 Windows Hook 挂钩监听消息 03.6 跨进程钩子注入消息映射回调原理 03.7 主线程、窗口句柄与消息队列 03.8 注入触发回调及释放全过程 03.9 共享内存映射完成跨进程注入思路 1.1、逐节复盘 小节 主要内容 复盘点 03.5 从消息机制理解 Windows Hook 的作用位置 记录 Hook 类型、线程/全局范围、目标窗口和消息来源 03.6 理解跨进程消息回调为什么可能导致模块进入其他进程 观察模块加载、回调线程、窗口消息和释放过程 03.7 获取主线程和窗口句柄用于建立观察对象 复盘窗口句柄、线程 ID、进程 ID 之间的映射关系 03.8 观察 Hook 回调触发、执行和卸载全过程 重点记录安装前后模块、句 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 04.0 - 04.4，主题很敏感：ShellCode 和内存承载。这里不记录生成、部署、执行的可操作步骤，只整理它为什么需要位置无关、为什么依赖内存属性、以及防守侧能从哪些地方观察异常。 1、内容范围 小节 主题 04.0 ShellCode 构建 04.1 ShellCode 压缩 04.2 ShellCode 修正 04.3 ShellCode 通用执行方式思路 04.4 无申请附加执行方案的原理边界 1.1、逐节复盘 小节 主要内容 复盘点 04.0 从代码、数据、地址引用和入口点理解 ShellCode 结构 只记录结构和限制，不整理可复用载荷 04.1 理解压缩或裁剪二进制片段时可能破坏的内容 关注相对地址、字符串、导入解析和跳转边界 04.2 修正二进制片段中的地址、长度和边界问题 用反汇编和校验值确认数据没有错位 04.3 从实验框架角度认识本地执行、回调执行等触发方式 重点记录内存属性、调用栈和异常，不写执行手册 04.4 理解“不 ...

返回：Windows 逆向攻防篇 · 网络安全学习主页 这一节对应 04.5 - 05.1。主题从“用户态 API 怎么被调用”延伸到“权限、会话、令牌和系统调用边界”。这部分适合从防护视角理解 API、ntdll、内核接口和访问控制之间的关系。 1、内容范围 小节 主题 04.5 API 执行调用路线及高级调用 04.6 过滤系统调用通用思路 04.7 ntdll 跳板过滤与应用层调用链 04.8 用户 APC 强制唤醒触发调度思路 04.9 Session 会话隔离 05.0 进程访问令牌与权限提升 05.1 高级远程线程注入 1.1、逐节复盘 小节 主要内容 复盘点 04.5 梳理应用层 API、ntdll、系统调用和内核处理的调用路线 建立调用链概念，方便之后看 Hook 和检测绕行痕迹 04.6 理解过滤系统调用的常见观察位置 关注用户态 API、ntdll 入口、调用栈和返回值差异 04.7 认识 ntdll 跳板与系统调用入口的关系 防护侧重点是异常调用路径、模块完整性和内存页属性 04.8 理解用 ...