还记得`《驱动开发：内核LoadLibrary实现DLL注入》`中所使用的注入技术吗，我们通过`RtlCreateUserThread`函数调用实现了注入DLL到应用层并执行，本章将继续探索一个简单的问题，如何注入`ShellCode`代码实现反弹Shell，这里需要注意一般情况下`RtlCreateUserThread`需要传入两个最重要的参数，一个是`StartAddress`开始执行的内存块
在某些时候我们的系统中会出现一些无法被正常删除的文件，如果想要强制删除则需要在驱动层面对其进行解锁后才可删掉，而所谓的解锁其实就是释放掉文件描述符（句柄表）占用，文件解锁的核心原理是通过调用`ObSetHandleAttributes`函数将特定句柄设置为可关闭状态，然后在调用`ZwClose`将其文件关闭，强制删除则是通过`ObReferenceObjectByHandle`在对象上提供相应的权
本章将探索内核级DLL模块注入实现原理，DLL模块注入在应用层中通常会使用`CreateRemoteThread`直接开启远程线程执行即可，驱动级别的注入有多种实现原理，而其中最简单的一种实现方式则是通过劫持EIP的方式实现，其实现原理可总结为，挂起目标进程，停止目标进程EIP的变换，在目标进程开启空间，并把相关的指令机器码和数据拷贝到里面去，然后直接修改目标进程EIP使其强行跳转到我们拷贝进去的
注册表是Windows中的一个重要的数据库，用于存储系统和应用程序的设置信息，注册表是一个巨大的树形结构，无论在应用层还是内核层操作注册表都有独立的API函数可以使用，而在内核中读写注册表则需要使用内核装用API函数，如下将依次介绍并封装一些案例，实现对注册表的创建，删除，更新，查询等操作。
在笔者上一篇文章`《驱动开发：内核层InlineHook挂钩函数》`中介绍了通过替换`函数`头部代码的方式实现`Hook`挂钩，对于ARK工具来说实现扫描与摘除`InlineHook`钩子也是最基本的功能，此类功能的实现一般可在应用层进行，而驱动层只需要保留一个`读写字节`的函数即可，将复杂的流程放在应用层实现是一个非常明智的选择，与`《驱动开发：内核实现进程反汇编》`中所使用的读写驱动基本一致，
在笔者上一篇文章`《驱动开发：内核RIP劫持实现DLL注入》`介绍了通过劫持RIP指针控制程序执行流实现插入DLL的目的，本章将继续探索全新的注入方式，通过`NtCreateThreadEx`这个内核函数实现注入DLL的目的，需要注意的是该函数在微软系统中未被导出使用时需要首先得到该函数的入口地址，`NtCreateThreadEx`函数最终会调用`ZwCreateThread`，本章在寻找函数的
在某些时候我们需要读写的进程可能存在虚拟内存保护机制，在该机制下用户的`CR3`以及`MDL`读写将直接失效，从而导致无法读取到正确的数据，本章我们将继续研究如何实现物理级别的寻址读写。首先，驱动中的物理页读写是指在驱动中直接读写物理内存页（而不是虚拟内存页）。这种方式的优点是它能够更快地访问内存，因为它避免了虚拟内存管理的开销，通过直接读写物理内存，驱动程序可以绕过虚拟内存的保护机制，获得对系统
让我们继续在`《内核读写内存浮点数》`的基础之上做一个简单的延申，如何实现多级偏移读写，其实很简单，读写函数无需改变，只是在读写之前提前做好计算工作，以此来得到一个内存偏移值，并通过调用内存写入原函数实现写出数据的目的。以读取偏移内存为例，如下代码同样来源于本人的`LyMemory`读写驱动项目，其中核心函数为`WIN10_ReadDeviationIntMemory()`该函数的主要作用是通过用
NtGlobalFlag 是一个`Windows`内核全局标记，在`Windows`调试方案中经常用到。这个标记定义了一组系统的调试参数，包括启用或禁用调试技术的开关、造成崩溃的错误代码和处理方式等等。通过改变这个标记，可以在运行时设置和禁用不同的调试技术和错误处理方式，比如调试器只能访问当前进程、只允许用户模式调试、启用特定的错误处理方式等等。但由于`NtGlobalFlag`标记是内核全局标记
## 一：背景 ### 1. 讲故事 在这么多的案例分析中，往往会发现一些案例是卡死在线程的内核态栈上，但拿过来的dump都是用户态模式下，所以无法看到内核态栈，这就比较麻烦，需要让朋友通过其他方式生成一个蓝屏的dump，这里我们简单汇总下。 ## 二：如何生成内核态dump ### 1. 案例代码
摘要：本文将探索内核中解析PE文件的相关内容。 本文分享自华为云社区《驱动开发：内核PE结构VA与FOA转换》，作者： LyShark 。 本章将探索内核中解析PE文件的相关内容，PE文件中FOA与VA、RVA之间的转换也是很重要的，所谓的FOA是文件中的地址，VA则是内存装入后的虚拟地址，RVA是
操作系统是计算机不可或缺的一部分，它连接着硬件和应用程序。内核是操作系统的核心，负责管理进程和线程、内存、硬件设备以及提供系统调用接口。计算机启动过程中，ROM负责加载并执行BIOS程序，而RAM用于存储运行中的程序和数据。系统调用是操作系统提供给应用程序的接口，通过系统调用可以访问操作系统的功能。系统调用相当于一个办事大厅，应用程序需要通过系统调用来完成特定的操作或获取特定的服务。
使用如下命令： cat /etc/os-release 显示结果如下，系统内核不同，信息不同。
删除不必要的内核模块，lsmod，删除模块：modprobe -r i2c_piix4，加载模块：modprobe i2c_piix4 ，blacklist evbug
原因 当Windows操作系统遇到严重错误导致系统崩溃时，屏幕显示为蓝色，通常伴有错误代码和信息，这被称为“蓝屏死机”（Blue Screen of Death，简称BSOD） https://www.thepaper.cn/newsDetail_forward_28126297 这次蓝屏事件影响非
IP重组 ip重组这部分 4.19内核与3.10内核有些差别，4.9.134以后内核中不使用低水位和工作队列了，同时使用了rhashtable 替代了 hash bucket的概念，在3.10内核中使用1024个hash bucket, 每个bucket中最多存放128个分片队列，在4.19内核中所
2024年6月17日，我们的运维团队突然收到了一连串的告警。监控大屏上，代表着不同 Sealos 可用区的绿点中，零星地闪烁起了一两个红点。 “奇怪，怎么有几台服务器突然 hang 住了？” 值班的小辉皱起了眉头。 这次故障的诡异之处在于它的随机性。并非所有节点都受到影响，而是在不同可用区中，时不时
页表的一些术语 现在Linux内核中支持四级页表的映射，我们先看下内核中关于页表的一些术语： 全局目录项，PGD（Page Global Directory） 上级目录项，PUD（Page Upper Directory） 中间目录项，PMD（Page Middle Directory） 页表项，（
在计算机启动过程和Linux内核Kernel启动过程介绍了计算机启动和内核加载，本篇文章主要介绍Android系统是如何启动的。 一、Android启动流程 Android系统的启动流程与Linux接近： sequenceDiagram participant Bootloader as 引导加载程
背景 根据orangepi zero2用户手册说明，linux5.13内核不能使用 modprobe fbtft_device 驱动spi lcd 查看linux内核源码提交记录，发现在v5.4-rc3中删除了fbtft_device.c文件 commit如下 staging/fbtft: Remo
