首页 > TAG信息列表 > IAT
脱壳之Mole Box壳
文件名称 xbtszmV3.5.exe 大小：14804 KB MD5: C76B6A5A99D6B4261110B2BF2A14EA73 使用PEID和Exeinfo PE查看exe文件，发现是加了Mole Box壳的程序： 直接用OllyDbg打开，按惯例先找到OEP。 可以看到程序入口点处有熟悉的PUSHAD，我们直接使用ESP定律，先单步执行到PUSHAD的下一条指令ROS error: robot_voice/iat_publish/usr/bin/ld: 找不到 -lmsc
Ubuntu18.04 + ROS melodic 用 catkin_make编译robot_voice时报错： [ 12%] Building C object robot_voice/CMakeFiles/iat_publish.dir/src/speech_recognizer.c.o cc1: warning: command line option ‘-std=c++11’ is valid for C++/ObjC++ but not for C [ 25%] Building C逆向脱壳实训 #2 手脱FSG及寻找IAT
逆向脱壳实训 #2 手脱FSG及寻找IAT 文章目录 逆向脱壳实训 #2 手脱FSG及寻找IAT环境 & 工具脱壳单步跟踪查壳OEP寻找IAT校准 之前的ASPACK和NSPACK跟UPX脱起来差不多，就没有再写文章记录 但FSG相对前三者无论是在脱壳上还是在修复上都有了不小的差别，所以记录下手脱的PE文件 - 导入表
导入表 在数据目录的第2项,下标为1的位置,记录了可执行文件导入了哪些动态库和函数,INT(导入函数名称表)和IAT(导入函数地址表),由于一个可执行文件可能要多个PE文件支持,所以此结构可能有多个,导入表就是一个结构体数组,以一个全零元素为结尾,每一个数组的元素,代表一个PE文件UPX(-)[modified] 脱壳
查壳：UPX(-)[modified] 脱壳 入口点，经典pushad指令，可以根据esp定律跟oep，这里直接搜索popad指令 ctrl+f --popad，搜到2条 第一条popad下断，f9运行 跳过循环，jmp处下断，f9运行 f7步进来到OEP 使用scylla插件dump 发现一条无效IAT,先delete，dump保存，f9运脱壳——修复加密IAT
脱壳——修复加密IAT 对两个练手程序进行脱壳修复加密IAT（其实是一个程序，只是用了几种不同的加壳方式） 第一个程序 Aspack.exe 下载链接：https://download.csdn.net/download/weixin_43916597/18372920 分析程序信息 首先先查看这个程序的信息，使用PEiD查看该exe程序 这里可用随机森林算法求解kaggle比赛——HR Analytics: Job Change of Data Scientists
1. 何谓kaggle？ Kaggle是由联合创始人、首席执行官安东尼·高德布卢姆（Anthony Goldbloom）2010年在墨尔本创立的，主要为开发商和数据科学家提供举办机器学习竞赛、托管数据库、编写和分享代码的平台。该平台已经吸引了80万名数据科学家的关注，这些用户资源或许正是吸引谷歌的主要IAT HOOK
IAT HOOK 首先IAT(Import Address Table)是一个表，叫导入地址表表，也是就是一个存放导入函数地址的表，dll文件中需要使用的函数地址都会存放到这个表里面，PE文件在硬盘中存储的时候，也就是在没有加载到内存的时候，这个表和INT表的内容一样都是存放的一个需要用到的函数的名称，当被加载进Pandas中[],loc,iloc,at,iat,ix的用法区别和规律总结
首先我们来造一批测试数据 df=pd.DataFrame(np.arange(42).reshape(7,6),columns=list('abcdefg'),index=list('hijklm')) loc只能根据行/列名查询 df.loc[:,:] #所有数据 df.loc['h','a'] #h行a列 df.loc[['h','k'],['c',浅谈IAT加密原理及过程
上一次做完代码段加密后，又接触到了新的加密方式：IAT加密 IAT加密是通过隐藏程序的导入表信息，以达到增加分析程序的难度。因为没有导入表，就无法单纯的从静态状态下分析调用了什么函数，动态调试时，也无法直接从调用处判断出调用的函数。从而增加了程序分析的难度。 IAT加密思路如下： 1.《逆向工程核心原理》第18.19章——UPack PE文件头详细描述、UPack调试——查找EOP
UPack PE文件头详细描述 UPack说明比较PE文件头重叠文件头IMAGE_FILE_HEADER.SizeOfOptionalHeaderIMAGE_OPTIONAL_HEADER.NumberOfRvaAndSizesIMAGE_SECTION_HEADER重叠节区RVA to RAW导入表（IMAGE_IMPORT_DESCRIPTOR array）导入地址表 INT与IAT到底有什么区别呢？UPack调试—03 脱壳示例
有些函数混淆后，F8步过call就会跑飞，因为执行流程没有返回到下一条指令，此时可以F7步入。如果大量重复的操作，可以用插件来完成。 x64dbg安装x64dbgpy插件后，在C:\Users\Hang\Downloads\x64dbgpy-37d3f5bb\x32\plugins\x64dbgpy\x64dbgpy\pluginsdk\_scriptapi目录中有源码，可以查询到各如何修改PE头加载DLL
查看PE文件的导入目录表（IDT) 1.查看PE文件的IDT，每一个DLL对应一个IID（20个字节，十六进制下为14），如果原IDT有足够空间，则可以直接在原IDT后面添加DLL，如果没有足够空间，那么需要将IDT迁移至程序空白区域。一个IDT包含多个IID，最后是一个20字节的空白区域，所以说足够空间的意思就是当你加入PE文件中的输入表
前言 PE文件中的输入表含有三个重要结构IID，IDT，IAT。PE文件为需要加载的DLL文件创建一个IID结构，一个DLL与一个IID对应。IDT是输入名称表，IAT输入地址表，在没有绑定输入的情况下磁盘中的文件IDT与IAT相同。 函数隐式链接 我们一般在调用函数的时候都是直接用函数的名称，例如Message()这PE 绑定导入表
什么是绑定导入 PE在加载前 INT IAT表都指向一个名称表 但是有些程序，如果你打印该程序的IAT表的时候会指向地址中发现里面是地址 原因：我们的PE程序在加载的时候， PE中导入表中的IAT表会根据INT表来进行填写函数地址。但是这就造成了一个问题，PE程序启动慢，因为每次启动都要给IAT表填圣天诺Sentinel破解脱壳方法
圣天诺Sentinel破解脱壳方法 忘记是什么时候写的了，有笔记和视频录像，没地方放录像，就先发个笔记吧，当然是带狗脱。 SHK 1.2 dll脱壳－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－在第1节就一直看jmp跟进 看到第一个call就下断，F9运行到此，回车跟进call，再看jmp跟进，如此循环跟，一直到第2节到第2节后，向下找标志cmp dword ptr5 pandas之DataFrame简单实用2
今日内容 # pandas之DataFrame 简介 # Pandas 的两个主要数据结构，Series（1维）和DataFrame（2维）# 整理数据、清理数据，分析数据、数据建模，然后将分析结果组织成适合绘图或表格显示的形式 常用操作 # 布尔索引查询 DataFrame# 复制DataFrame copy# 插入新数据列‘gender’ ['FemaPE知识复习之PE的绑定导入表
一丶简介 根据前几讲,我们已经熟悉了导入表结构.但是如果大家尝试过打印导入表的结构. INT IAT的时候. 会出现问题. PE在加载前 INT IAT表都指向一个名称表. 这样说是没错的. 但是如果你打印过导入表.会发现一个问题. 有的EXE程序.在打印IAT表的时候.发现里面是地址. 原因:基于 Jmeter 的 web 端接口自动化测试平台（转载）
框架 功能点 批量导入har包生成接口用例 接口用例分组树形展示 用例编辑失焦自动保存 用例编写提供快捷调试模块 支持多类型参数，json+文本两种校验 支持同一个项目中接口参数传递 提供即时任务+每日定时任务两种任务集 全局cookie管理，全局默认参数，全局请求头设置 可编排的用例PE基础6_远程线程注入-HOOK（消息-InLine-IAT）
注入 概述 DLL注入的初始动力源自于程序员对其他第三方应用程序进行功能扩展的愿望 注入方式有 注册表注入 ComRes注入 APC注入 消息钩子注入 远程线程注入 依赖可信进程注入 劫持进程创建注入 输入法注入 远程线程注入 //要加载的dll路径WCHAR szDllPat网络游戏体验度量设计
网络游戏场景 网络游戏中目前常见架构是C/S和B/S，这里只考虑主流即C/S的情况，它们间报文交互涉及 服务器发送到客户端：状态更新、对话框、请求的应答 客户端发送到服务器：用户指令，位置更新等 影响游戏体验的2个最重要的网络因素，延迟（导致卡顿）和丢包（导致重传=变相延迟）。对于延迟，可ROS应用 —— Ubuntu16.04下 科大讯飞语音听写的修改&使用（2）
续 ROS应用 —— Ubuntu16.04下 科大讯飞SDK的下载与测试（1） 前提： 已经创建了工作空间，这里假设工作空间为 catkin_ws ； libmsc.so已经复制到系统下； 1. 建立一个功能包 创建功能包： cd ~/catkin_ws/src ; catkin_create_pkg robot_voice std_msgs rospy roscpp 编译整个工作空间： cHOOK这是一种思想（附源码）
一、H 0 0 K：不知道什么时候开始，我不喜欢叫这些知识为技术，喜欢把这些知识叫做思想。技术只是实现思想的一种行为。 HOOK这是一个很古老的话题，我见过最早的帖子日期在2004年左右，而我2018年才学习，不变的是思想。 二、用户层：windows下用户层被泛指三环，上层社会，比较高端繁华的地方，让人向