x64dbg 是一款开源、免费、功能强大的动态反汇编调试器，它能够在`Windows`平台上进行应用程序的反汇编、调试和分析工作。与传统的调试器如`Ollydbg`相比，x64dbg调试器的出现填补了`Ollydbg`等传统调试器的不足，为反汇编调试工作提供了更高效、更可靠的解决方案。正是因为有了这些优点，才能使其成为当今最受欢迎的反汇编调试软件之一。
本周热点趋势榜虽然新项目不多，但是还是有几个不错值得收藏的工具项目，比如用来做文本转语音的 tortoise-tts 能生成更加贴近真实人声的语音，让 Go
在Windows平台下，应用程序为了保护自己不被调试器调试会通过各种方法限制进程调试自身，通常此类反调试技术会限制我们对其进行软件逆向与漏洞分析，我们以第一种`IsDebuggerPresent`反调试为例，该函数用于检查当前程序是否在调试器的环境下运行。函数返回一个布尔值，如果当前程序正在被调试，则返回True，否则返回False。函数通过检查特定的内存地址来判断是否有调试器在运行。具体来说，该
通常可以通过在程序中设置异常处理函数，并在其中发起一个异常，然后判断程序是否已经被调试器附加来实现反调试。如果异常处理函数没有被触发，则说明程序已经被调试器附加；如果异常处理函数被触发，则说明程序没有被调试器附加。安装异常处理函数并手动触发，此时如果被调试器附加，则会不走异常处理流程，此时`IsDebug`将会返回默认的`False`，并直接走`_asm call pBuff;`在调试器不忽略`i
前言 Serilog是 .NET 上的一个原生结构化高性能日志库，这个库能实现一些比内置库更高度的定制。日志持久化是其中一个非常重要的功能，生产环境通常很难挂接调试器或者某些bug的触发条件很奇怪。为了在脱离调试环境的情况下尽可能保留更多线索来辅助解决生产问题，持久化的日志就显得很重要了。目前Ser
前言 Linux 内核（以下简称内核）是一个不与特定进程相关的功能集合，内核的代码很难轻易的在调试器中执行和跟踪。开发者认为，内核如果发生了错误，就不应该继续运行。因此内核发生错误时，它的行为通常被设定为系统崩溃，机器重启。基于动态存储器的电气特性，机器重启后，上次错误发生时的现场会遭到破坏，这使得
在第一章中我们介绍了`x64dbg`这款强大的调试软件，通过该软件逆向工程师们可以手动完成对特定进程的漏洞挖掘及脱壳等操作，虽然`x64dbg`支持内置`Script`脚本执行模块，但脚本引擎通常来说是不够强大的，LyScript 插件的出现填补了这方面的不足，该插件的开发灵感来源于`Immunity`调试器中的`ImmLib`库，因`Immunity`调试器继承自`Ollydbg`导致该调试器无
摘要：目前，鲲鹏亲和开发框架提供：场景化SDK、启发式编程、鲲鹏亲和分析、鲲鹏调试器、远程实验室等功能，降低开发应用难度，方便开发者使用鲲鹏架构提供的软硬协同能力，提升开发效率。 本文分享自华为云社区《掌握这5大功能，解锁鲲鹏开发新发现》，作者：华为云社区精选 。 本文主要介绍鲲鹏开发框架插件工具能
本章笔者将通过`Windows`平台下自带的调试API接口实现对特定进程的动态转存功能，首先简单介绍一下关于调试事件的相关信息，调试事件的建立需要依赖于`DEBUG_EVENT`这个特有的数据结构，该结构用于向调试器报告调试事件。当一个程序发生异常事件或者被调试器附加时，就会产生对应的`DEBUG_...
一、前言 最近我在使用 WinDebug进行系统调试，也是在学习《Net高级调试》这本书。以前听过 WinDebug 调试器，但是没有使用过，由于最近想起来了，就好好的研究一下，学习一下。初次接触，还是走了不少弯路，踩了不少坑。关于 WinDebug 最新版的安装方法，可以在“微软商店”里面，直接查
NtGlobalFlag 是一个`Windows`内核全局标记，在`Windows`调试方案中经常用到。这个标记定义了一组系统的调试参数，包括启用或禁用调试技术的开关、造成崩溃的错误代码和处理方式等等。通过改变这个标记，可以在运行时设置和禁用不同的调试技术和错误处理方式，比如调试器只能访问当前进程、只允许用户模式调试、启用特定的错误处理方式等等。但由于`NtGlobalFlag`标记是内核全局标记
STARTUPINFO 结构体，可以用来指定新进程的主窗口外观风格、背景颜色、标题等信息，也可以用来实现反调试技术。通常情况下，我们可以将`STARTUPINFO`结构体中的`dwFlags`成员设置为`STARTF_DEBUGONLYTHISPROCESS`，以防止调试器附加到当前进程。设置了`STARTF_DEBUGONLYTHISPROCESS`后，如果尝试通过调试器附加到该进程，则调试器将
首先这是一种比较奇特的反调试思路，通过检测自身父进程来判定是否被调试，原理非常简单，我们的系统在运行程序的时候，绝大多数应用程序都是由`Explorer.exe`这个父进程派生而来的子进程，也就是说如果没有被调试其得到的父进程就是`Explorer.exe`的进程PID，而如果被调试则该进程的父进程PID就会变成调试器的PID值，通过对父进程的检测即可实现检测是否被调试的功能。
https://zhuanlan.zhihu.com/p/511093857 本文从一个实际例子触发, 总结了5种定位I/O来源的方法. 现象描述 客户环境报dd写入速度慢, 写入10M数据花了30秒钟 #dd if=/dev/zero of=test bs=1M count=10 conv=fda
https://cloud.tencent.com/developer/user/2577825 TL;DR 文章涉及的实验环境和代码可以到这个git repo获取： https://github.com/nevermosby/linux-bpf-learning 问题 当停止了上篇文章实验中的XD
https://www.yihaomen.com/article/1853.html 摘要: 用 spring boot 开发应用时，在遇到麻烦问题时，经常会打开debug日志，下面记录一个通用的思路，基于spring boot以及jpa来实现, 一般来说，将root的日志级别设置为log.leve
理解了如何通过调试事件输出当前进程中寄存器信息，那么实现加载DLL模块也会变得很容易实现，加载DLL模块主要使用`LOAD_DLL_DEBUG_EVENT`这个通知事件，该事件可检测进程加载的模块信息，一旦有新模块被加载或装入那么则会触发一个通知事件，利用该方法并配合磁盘路径获取函数则可很容易的实现进程模块加载的监控。
我们继续延申调试事件的话题，实现进程转存功能，进程转储功能是指通过调试API使获得了目标进程控制权的进程，将目标进程的内存中的数据完整地转存到本地磁盘上，对于加壳软件，通常会通过加密、压缩等手段来保护其代码和数据，使其不易被分析。在这种情况下，通过进程转储功能，可以将加壳程序的内存镜像完整地保存到本...
当读者需要获取到特定进程内的寄存器信息时，则需要在上述代码中进行完善，首先需要编写`CREATE_PROCESS_DEBUG_EVENT`事件，程序被首次加载进入内存时会被触发此事件，在该事件内首先我们通过`lpStartAddress`属性获取到当前程序的入口地址，并通过`SuspendThrea...
