_lunar_ - Форум программистов и сисадминов Киберфорум

Разбираемся в новом API KLoader. Часть 2: Deep Internal Research

Запись от _lunar_ размещена 04.06.2022 в 01:55
Обновил(-а) _lunar_ 21.06.2022 в 16:19 (ссылка на репозиторий GitHub)

Разбираемся в новом API KLoader. Часть 1: Общие сведения

Из первой части исследования стало известно, что в реестре Windows 11 есть...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 168
Размер: 22.0 Кб
ID: 7571

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 131
Размер: 49.6 Кб
ID: 7572

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 95
Размер: 67.1 Кб
ID: 7573

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 84
Размер: 41.8 Кб
ID: 7575

Нажмите на изображение для увеличения
Название: 5.png
Просмотров: 119
Размер: 36.2 Кб
ID: 7576

Нажмите на изображение для увеличения
Название: 6.png
Просмотров: 106
Размер: 25.3 Кб
ID: 7577

_lunar_

Размещено в Без категории

Показов 765 Комментарии 0 _lunar_ на форуме

Разбираемся в новом API KLoader. Часть 1: Общие сведения

Запись от _lunar_ размещена 25.05.2022 в 00:56
Обновил(-а) _lunar_ 17.06.2022 в 15:53

Во-первых, сразу уточню, что новый API доступен только в Windows 11. В более старых версиях ОС не ищите, его там нет.

Уже и не помню каким образом я наткнулся на ветку реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\KLoader...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.jpg
Просмотров: 136
Размер: 84.2 Кб
ID: 7549

Нажмите на изображение для увеличения
Название: 2.jpg
Просмотров: 107
Размер: 49.5 Кб
ID: 7550

Нажмите на изображение для увеличения
Название: 3.jpg
Просмотров: 154
Размер: 141.0 Кб
ID: 7551

Нажмите на изображение для увеличения
Название: 4.jpg
Просмотров: 106
Размер: 129.8 Кб
ID: 7552

Нажмите на изображение для увеличения
Название: 5.jpg
Просмотров: 143
Размер: 110.4 Кб
ID: 7553

Нажмите на изображение для увеличения
Название: 6.jpg
Просмотров: 130
Размер: 61.6 Кб
ID: 7554

Нажмите на изображение для увеличения
Название: 7.jpg
Просмотров: 117
Размер: 47.7 Кб
ID: 7555

Нажмите на изображение для увеличения
Название: 8.jpg
Просмотров: 65
Размер: 121.1 Кб
ID: 7604

_lunar_

Размещено в Без категории

Показов 913 Комментарии 0 _lunar_ на форуме

Стек вызовов Windows API

Запись от _lunar_ размещена 11.04.2022 в 14:59
Обновил(-а) _lunar_ 01.06.2022 в 17:34

В этой записи я постараюсь простым понятным языком объяснить что такое API в целом, а также его разновидности в...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 263
Размер: 57.6 Кб
ID: 7441

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 229
Размер: 64.8 Кб
ID: 7442

_lunar_

Размещено в Без категории

Показов 1142 Комментарии 0 _lunar_ на форуме

Объекты операционной системы. Часть 4: Отладчик уровня ядра WinDbg

Запись от _lunar_ размещена 24.12.2021 в 19:41
Обновил(-а) _lunar_ 18.01.2022 в 16:20

Объекты операционной системы. Часть 1: Общие сведения
Объекты операционной системы. Часть 2: Объект ядра
Объекты операционной системы. Часть 3: Уровень целостности

В этой...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 200
Размер: 44.9 Кб
ID: 7327

Нажмите на изображение для увеличения
Название: 0.png
Просмотров: 170
Размер: 20.9 Кб
ID: 7328

Нажмите на изображение для увеличения
Название: 0.5.png
Просмотров: 178
Размер: 15.7 Кб
ID: 7330

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 202
Размер: 64.0 Кб
ID: 7331

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 195
Размер: 60.6 Кб
ID: 7332

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 180
Размер: 45.6 Кб
ID: 7334

Нажмите на изображение для увеличения
Название: 5.png
Просмотров: 204
Размер: 84.5 Кб
ID: 7335

Нажмите на изображение для увеличения
Название: 5.5.png
Просмотров: 213
Размер: 36.2 Кб
ID: 7336

Нажмите на изображение для увеличения
Название: 6.png
Просмотров: 179
Размер: 64.7 Кб
ID: 7337

Нажмите на изображение для увеличения
Название: 7.png
Просмотров: 180
Размер: 63.9 Кб
ID: 7338

Нажмите на изображение для увеличения
Название: 8.png
Просмотров: 183
Размер: 13.9 Кб
ID: 7339

Нажмите на изображение для увеличения
Название: 9.png
Просмотров: 175
Размер: 9.9 Кб
ID: 7340

Нажмите на изображение для увеличения
Название: 10.png
Просмотров: 205
Размер: 23.6 Кб
ID: 7343

Нажмите на изображение для увеличения
Название: 11.png
Просмотров: 186
Размер: 40.5 Кб
ID: 7345

Вложения

api-ms-win-core-sysinfo-l1-2-0.rar (6.4 Кб, 252 просмотров)

_lunar_

Размещено в Без категории

Показов 1792 Комментарии 0 _lunar_ на форуме

Объекты операционной системы. Часть 3: Уровень целостности

Запись от _lunar_ размещена 08.12.2021 в 01:51
Обновил(-а) _lunar_ 29.12.2022 в 10:17

Объекты операционной системы. Часть 1: Общие сведения
Объекты операционной системы. Часть 2: Объект ядра

Честно говоря, третью часть блога "Объекты...

Миниатюры

Нажмите на изображение для увеличения
Название: 33.png
Просмотров: 191
Размер: 18.0 Кб
ID: 7276

Нажмите на изображение для увеличения
Название: 22.png
Просмотров: 225
Размер: 39.7 Кб
ID: 7277

Нажмите на изображение для увеличения
Название: 11.png
Просмотров: 221
Размер: 55.6 Кб
ID: 7278

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 130
Размер: 109.4 Кб
ID: 7351

Вложения

_lunar_

Размещено в Без категории

Показов 2015 Комментарии 3 _lunar_ на форуме

Объекты операционной системы. Часть 2: Объект ядра

Запись от _lunar_ размещена 16.11.2021 в 12:22
Обновил(-а) _lunar_ 10.05.2022 в 10:42

Объекты операционной системы. Часть 1: Общие сведения

Больший интерес из всех трёх групп объектов представляет категория объект ядра.
Рассмотрим более подробно Kernel object....

Миниатюры

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 233
Размер: 43.7 Кб
ID: 7223

Нажмите на изображение для увеличения
Название: 5.png
Просмотров: 237
Размер: 77.7 Кб
ID: 7224

Нажмите на изображение для увеличения
Название: 1.gif
Просмотров: 45
Размер: 17.0 Кб
ID: 7497

Нажмите на изображение для увеличения
Название: 2.gif
Просмотров: 36
Размер: 19.5 Кб
ID: 7498

Нажмите на изображение для увеличения
Название: 3.gif
Просмотров: 29
Размер: 23.3 Кб
ID: 7499

Нажмите на изображение для увеличения
Название: 4.gif
Просмотров: 33
Размер: 13.8 Кб
ID: 7500

Нажмите на изображение для увеличения
Название: 5.gif
Просмотров: 25
Размер: 15.8 Кб
ID: 7501

Нажмите на изображение для увеличения
Название: 6.gif
Просмотров: 28
Размер: 29.9 Кб
ID: 7502

Нажмите на изображение для увеличения
Название: 7.gif
Просмотров: 36
Размер: 214.8 Кб
ID: 7504

Вложения

_lunar_

Размещено в Без категории

Показов 3030 Комментарии 3 _lunar_ на форуме

Объекты операционной системы. Часть 1: Общие сведения

Запись от _lunar_ размещена 12.11.2021 в 00:09
Обновил(-а) _lunar_ 17.11.2021 в 11:48

В этом блоге я решил затронуть такую тему, как объекты операционной системы семейства Windows.
Очень часто начинающие...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 196
Размер: 1.4 Кб
ID: 7216

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 220
Размер: 3.6 Кб
ID: 7217

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 210
Размер: 2.7 Кб
ID: 7218

Вложения

_lunar_

Размещено в Без категории

Показов 2043 Комментарии 5 _lunar_ на форуме

Прогулка по Рабочему столу Winlogon. Часть 2: Привет, друг

Запись от _lunar_ размещена 08.06.2021 в 01:52
Обновил(-а) _lunar_ 20.12.2021 в 16:26

Прогулка по Рабочему столу Winlogon. Часть 1: UAC

Когда ребята из Microsoft создавали экран приветствия, где пользователь должен...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.jpg
Просмотров: 584
Размер: 192.6 Кб
ID: 7014

Нажмите на изображение для увеличения
Название: 2.JPG
Просмотров: 556
Размер: 429.8 Кб
ID: 7015

Нажмите на изображение для увеличения
Название: 3.JPG
Просмотров: 579
Размер: 564.6 Кб
ID: 7016

Вложения

_lunar_

Размещено в Без категории

Показов 3419 Комментарии 2 _lunar_ на форуме

Прогулка по Рабочему столу Winlogon. Часть 1: UAC

Запись от _lunar_ размещена 02.06.2021 в 00:55
Обновил(-а) _lunar_ 31.08.2022 в 10:07

В современной операционной системе Windows есть области ядра, в которые Microsoft не хотела бы пускать обычных пользователей....

Миниатюры

Нажмите на изображение для увеличения
Название: 1.jpg
Просмотров: 361
Размер: 638.9 Кб
ID: 7002

Нажмите на изображение для увеличения
Название: 2.JPG
Просмотров: 353
Размер: 464.1 Кб
ID: 7003

Нажмите на изображение для увеличения
Название: 3.jpg
Просмотров: 348
Размер: 44.3 Кб
ID: 7004

Нажмите на изображение для увеличения
Название: 4.JPG
Просмотров: 335
Размер: 346.5 Кб
ID: 7005

Нажмите на изображение для увеличения
Название: 5.JPG
Просмотров: 326
Размер: 276.0 Кб
ID: 7006

Нажмите на изображение для увеличения
Название: 6.JPG
Просмотров: 345
Размер: 288.4 Кб
ID: 7007

Нажмите на изображение для увеличения
Название: 7.JPG
Просмотров: 354
Размер: 804.8 Кб
ID: 7008

Нажмите на изображение для увеличения
Название: 8.JPG
Просмотров: 332
Размер: 738.1 Кб
ID: 7009

Вложения

_lunar_

Размещено в Без категории

Показов 5007 Комментарии 7 _lunar_ на форуме

Постоянная ссылка на Google Диск для скачивания моих утилит

Запись от _lunar_ размещена 03.03.2021 в 10:55
Обновил(-а) _lunar_ 29.04.2022 в 16:10

В этом блоге я буду выкладывать свои программы/утилиты с постоянной ссылкой.
Все обновления будут визироваться...

Миниатюры

Нажмите на изображение для увеличения
Название: 1234.png
Просмотров: 386
Размер: 23.3 Кб
ID: 6847

Нажмите на изображение для увеличения
Название: vnkj5b.png
Просмотров: 262
Размер: 24.0 Кб
ID: 6888

Нажмите на изображение для увеличения
Название: rfg9.png
Просмотров: 365
Размер: 27.8 Кб
ID: 6943

Вложения

_lunar_

Размещено в Без категории

Показов 6402 Комментарии 0 _lunar_ на форуме

Вскрываем защиту ProtectedLite процессов на уровне пользовательского кода

Запись от _lunar_ размещена 20.02.2021 в 12:19
Обновил(-а) _lunar_ 22.03.2022 в 00:55

Начну немного с теории - как это работает и для чего это нужно.
При разработке нового ядра, отличного от ядра...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 302
Размер: 29.2 Кб
ID: 6814

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 282
Размер: 29.6 Кб
ID: 6817

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 112
Размер: 20.8 Кб
ID: 6947

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 102
Размер: 19.0 Кб
ID: 6948

Нажмите на изображение для увеличения
Название: 5.png
Просмотров: 117
Размер: 24.8 Кб
ID: 6949

Изображения

	6.jpg (129.5 Кб, 536 просмотров)
	fcer445.jpg (165.8 Кб, 510 просмотров)

Вложения

_lunar_

Размещено в Без категории

Показов 4206 Комментарии 0 _lunar_ на форуме

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 3: Эпилог

Запись от _lunar_ размещена 30.01.2021 в 13:33
Обновил(-а) _lunar_ 03.03.2021 в 10:59

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7
Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 2: Windows 8 - Windows 10...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 215
Размер: 23.8 Кб
ID: 6758

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 168
Размер: 26.0 Кб
ID: 6759

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 154
Размер: 22.5 Кб
ID: 6760

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 162
Размер: 14.6 Кб
ID: 6761

Нажмите на изображение для увеличения
Название: 7.png
Просмотров: 150
Размер: 25.3 Кб
ID: 6770

Изображения

	5.jpg (158.0 Кб, 614 просмотров)
	6.jpg (135.4 Кб, 611 просмотров)

Вложения

_lunar_

Размещено в Без категории

Показов 4624 Комментарии 0 _lunar_ на форуме

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 2: Windows 8 - Windows 10

Запись от _lunar_ размещена 10.01.2021 в 12:16
Обновил(-а) _lunar_ 03.03.2021 в 11:01

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7

Первая часть блога по исследованию сервиса...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 1551
Размер: 110.0 Кб
ID: 6691

Вложения

_lunar_

Размещено в Без категории

Показов 5525 Комментарии 0 _lunar_ на форуме

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7

Запись от _lunar_ размещена 06.11.2020 в 12:15
Обновил(-а) _lunar_ 03.03.2021 в 12:22

После насквозь "дырявой" Windows XP в Microsoft прикинули расклад и задались вопросом - как же изолировать систему...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 332
Размер: 128.5 Кб
ID: 6564

Вложения

	UI0Detect.7z (11.2 Кб, 147 просмотров)
	WlS0WndH.7z (2.9 Кб, 145 просмотров)

_lunar_

Размещено в Без категории

Показов 7562 Комментарии 3 _lunar_ на форуме

Обход Anti-Malware Scan Interface (AmsiScanBuffer bypass)

Запись от _lunar_ размещена 01.01.2020 в 19:15
Обновил(-а) _lunar_ 01.10.2020 в 11:34

С релизом Windows 10 компания Microsoft представила новый интерфейс, который могут использовать приложения и службы, отправляя...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 1510
Размер: 13.8 Кб
ID: 5780

Вложения

_lunar_

Размещено в Без категории

Показов 6130 Комментарии 0 _lunar_ на форуме

Windows Internal на примере user32.dll!__ClientLoadLibrary (Часть 1.0)

Запись от _lunar_ размещена 29.10.2019 в 16:15
Обновил(-а) _lunar_ 19.11.2019 в 01:10

Internal (или внутренние) функции операционной системы Windows как известно не входят в таблицу экспорта и используются...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 1521
Размер: 58.4 Кб
ID: 5676

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 1502
Размер: 81.9 Кб
ID: 5677

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 1319
Размер: 57.8 Кб
ID: 5678

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 1258
Размер: 78.9 Кб
ID: 5679

Вложения

Эксплойт нулевого дня (CVE-2018-8453) в целевых атаках.pdf (1.54 Мб, 997 просмотров)

_lunar_

Размещено в Без категории

Показов 9072 Комментарии 0 _lunar_ на форуме

Правильный прототип LdrLoadDll

Запись от _lunar_ размещена 22.07.2019 в 15:14
Обновил(-а) _lunar_ 23.07.2019 в 11:05

Почему-то везде в интернете ходит один и тот же неправильный прототип nt-функции LdrLoadDll

C++

NTSYSAPI
NTSTATUS
NTAPI
LdrLoadDll(
    _In_opt_ PWSTR DllPath,

...

_lunar_

Размещено в Без категории

Показов 9099 Комментарии 0 _lunar_ на форуме

Чтение данных PE заголовка

Запись от _lunar_ размещена 27.03.2019 в 13:13
Обновил(-а) _lunar_ 09.06.2020 в 17:13

Несмотря на то, что исполняемые файлы имеют чёткую структуру и документированное описание, найти полезную информацию...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 589
Размер: 25.8 Кб
ID: 5313

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 492
Размер: 19.0 Кб
ID: 5314

Нажмите на изображение для увеличения
Название: 3.png
Просмотров: 511
Размер: 31.2 Кб
ID: 5315

Нажмите на изображение для увеличения
Название: 4.png
Просмотров: 512
Размер: 8.5 Кб
ID: 5316

Нажмите на изображение для увеличения
Название: 5.png
Просмотров: 430
Размер: 21.0 Кб
ID: 5317

Вложения

_lunar_

Размещено в Без категории

Показов 6744 Комментарии 1 _lunar_ на форуме

Прототип RtlCreateUserProcessEx

Запись от _lunar_ размещена 29.01.2019 в 10:25
Обновил(-а) _lunar_ 08.02.2019 в 21:39

Потребовалось недавно создать процесс средствами Native API.
Из всего набора функций ntdll.dll имеются следующие...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 421
Размер: 18.4 Кб
ID: 5170

Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 446
Размер: 17.8 Кб
ID: 5171

Вложения

_lunar_

Размещено в Без категории

Показов 5397 Комментарии 0 _lunar_ на форуме

Загрузка динамических библиотек без kernel32.dll

Запись от _lunar_ размещена 22.01.2019 в 13:08
Обновил(-а) _lunar_ 27.01.2019 в 17:13

Решил написать небольшой пример для загрузки DLL средствами NativeAPI (полностью независимого от Kernel32.dll кода).
...

Миниатюры

Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 481
Размер: 43.0 Кб
ID: 5166

Вложения

LdrLoader.rar (475.8 Кб, 320 просмотров)

_lunar_

Размещено в Без категории

Показов 4837 Комментарии 0 _lunar_ на форуме

Сообщение форума

Отменить изменения

Архив
< Февраль 2023
Вс	Пн	Вт	Ср	Чт	Пт	Сб
22	23	24	25	26	27	28
29	30	31	1	2	3	4
5	6	7	8	9	10	11
12	13	14	15	16	17	18
19	20	21	22	23	24	25
26	27	28	1	2	3	4