课程目录

• 10：ByPass过CRC
• 10.1Pass冒险岛CRC1
• 10.2Pass冒险岛CRC2
• 10.3Pass冒险岛CRC3
• 11：内核的安全防护入门
• 11.10钩子艺术HookSSDT
• 11.3配置RootKit通讯端口
• 11.4操纵数据流文件
• 11.5读隐藏数据流文件
• 11.6RootKit使用流文件
• 11.7安装和卸载RootKit
• 11.8原子级交换挂钩原理
• 11.9原子级交换SSDT函数
• 12：内核的安全防护进阶
• 12.10释放映射空间
• 12.1内核函数前缀的意义
• 12.2内核下文件名比较
• 12.3挂钩内核函数过滤映射DLL名称
• 12.4增加内核数据类型
• 12.5未公开函数的显示调用
• 12.6内核态DLL特征码匹配
• 12.7通过PE格式获得PE信息
• 12.8PE格式牵扯的结构定义
• 12.9MDL大缓存分片映射
• 13：内核的安全防护提升
• 13.10修正Detour有效地址
• 13.1快速匹配特征码
• 13.2PE结构的使用
• 13.3导出表匹配函数名
• 13.4字符串匹配
• 13.5特征码定位挂钩地址
• 13.6注入信息初始化
• 13.7检测函数字节
• 13.8纪录被重写的指令
• 13.9构建Detour有效地址
• 14：内核的安全防护高级1
• 14.10过滤IRP请求
• 14.1运行时地址修正并挂钩
• 14.2遍历IDT表信息
• 14.3IDT挂钩模板
• 14.4IDT挂钩模板地址修正
• 14.5HOOK所有IDT
• 14.6IRP钩子的概念
• 14.7全局IRPHOOK(上)
• 14.8全局IRPHOOK(下)
• 14.9HOOK请求报文IRP
• 15：内核的安全防护高级2
• 15.1过滤IRP栈
• 15.2隐匿端口
• 15.3Sysenter简单Hook
• 15.4绕过rootkit检测工具的检测
• 15.5分层驱动键盘嗅探
• 15.6IRP分层直通传递
• 15.7键盘嗅探回调完成函数
• 15.8直接修改内核对象隐藏进程驱动部分
• 16：VT虚拟化基础入门(WIN7)-1
• 16.10VT64虚拟化EPT的4级分页结构与缓存策略
• 16.1VT虚拟化技术的概念概述
• 16.2VT虚拟化原理与VS+WDK开发环境搭建
• 16.3VT64位虚拟化初始化编程C与ASM联合编译
• 16.4VT64位虚拟化检查CPU能力并侵染
• 16.5VT64位虚拟化浸染CPU
• 16.6VT64位虚拟化初始化VMXON与初始化VMCS
• 16.7VT64位虚拟化初始化VMCS
• 16.8宿主机区域寄存器状态
• 16.9Intel-64-32架构手册参考与解释
• 17：VT虚拟化基础入门(WIN7)-2
• 17.10GDT与LDT特权级代码转移(门调用)
• 17.1VT64虚拟化线性地址到物理地址的完整转换
• 17.2HandleVmExit回调函数退出原因
• 17.3Bochs源码编译启动VT支持
• 17.4VT64虚拟化关键词介绍与运行VT内核驱动
• 17.5HandleException接管Int3断点
• 17.6StartVirtualTechnology
• 17.7利用VS2013实现ASM文件与C文件混合编译
• 17.8设定SysEnter_Eip回调函数
• 17.9DR7与DR6寄存器的拦截与修复
• 18：VT虚拟化基础入门(WIN7)-3
• 18.10实现无Hook修改进程EIP绕过所有CRC检测
• 18.1VT32虚拟化IDT重定向拦截INT1中断
• 18.2IDT拦截修改调试信息原理
• 18.3MemorySpecifyCache函数
• 18.4BulePill中Bug的排除
• 18.5VT虚拟化基于硬件虚拟化技术的内存保护研究
• 18.6VT虚拟化反反调试与IDT结构详解
• 18.7关闭PAE用Windbg修改物理内存
• 18.8开启PAE用Windbg修改物理内存
• 18.9HookPage实现无限硬件断点
• 19：VT虚拟化基础入门(WIN7)-4
• 19.1过某游戏保护相关信息与遍历系统驱动模块
• 19.2某游戏保护3个NotifyRoutine
• 19.3游戏保护ObCallBack的利用与遍历
• 19.4ValidAccessMask利用与对抗
• 19.5调试器基础框架(过64位游戏保护)
• 19.6HiJackSSDT之前的准备工作
• 19.7VT监控劫持MSR所有系统底层调用
• 1：驱动开发环境部署
• 1.1.VS2019驱动开发环境
• 1.10再谈VC环境配置
• 1.2安装VC6.0
• 1.3安装VS2003-VC7.0
• 1.4安装VS2008-VC9.0
• 1.5安装VC助手
• 1.6安装DDK
• 1.7VC6环境下编译驱动
• 1.8VS2003环境编译驱动
• 1.9VS2008环境编译驱动
• 20：VT内核虚拟化基础入门(WIN10)-1
• 20.10初始化Guest状态填充VMCS区域
• 20.1内核VT虚拟化技术简介
• 20.2Win10+VS2017+WDK10的安装
• 20.3Win10内核双机调试环境搭建
• 20.4内核程序开发基础入门
• 20.5开启VMware虚拟化与VT基本原理
• 20.7检测CPU对VT虚拟化的支持情况
• 20.8初始化VMX与VMCS的非分页内存
• 20.9内存对齐与VMCS第1阶段的初始化
• 21：VT内核虚拟化基础入门(WIN10)-2
• 21.10VMExitHandler原理与实现
• 21.1初始化Host状态与EPT的概念
• 21.2通过Windbg学习EPT内存扩展表
• 21.3构建EPT内存页表
• 21.4初始化EPT
• 21.5填充EPT的PML4_PDPT_PDT
• 21.6安装VMX与VMCS
• 21.7调整Msr配置虚拟机运行控制域
• 21.8调整VMExit与Entry控制域
• 21.9填充Guest与Host寄存器状态
• 22：VT内核虚拟化基础入门(WIN10)-3
• 22.1VMExit必须处理的退出条件
• 22.2虚拟化测试案例与退出虚拟化
• 23：VT虚拟化框架KSM(选学)
• 23.1虚拟化框架移植
• 23.2VT框架的初始化
• 23.3电源与CPU热拔插回调初始化
• 23.4移植侵染CPU基础框架
• 23.5EPT的初始化
• 24：EPT无痕Hook(WIN7-WIN10)-1
• 24.10无痕Hook融合MTF函数
• 24.1虚拟化框架的移植与改造
• 24.2进程无痕Hook功能的实现
• 24.3进程无痕Hook3环流程详解
• 24.4进程无痕Hook内核层流程讲解
• 24.5启动无痕Hook伪造页面
• 24.6内核无痕Hook框架搭建
• 24.7内核无痕Hook的初始化
• 24.8无痕Hook页面结构体合并
• 24.9无痕Hook处理器共享数据结构体合并
• 25：EPT无痕Hook(WIN7-WIN10)-2
• 25.1无痕Hook与切换CR3
• 25.2无痕Hook挂钩完成
• 25.3无痕Hook+内存隐藏演示
• 26：调试器通道重建(WIN7-WIN10)-1
• 26.1全系统重建调试器通道流程
• 26.2重建调试通道代码的编译
• 26.3调试通道重建详解
• 26.4X64Debug调试器插件开发
• 26.6处理DbgBreakPoint
• 26.7自建shellcode执行第一次断点
• 26.8动态修正shellcode执行int3
• 26.9C提取shellcode
• 27：调试器通道重建(WIN7-WIN10)-2
• 27.1Hook设置断点与删除断点函数
• 2：基础驱动开发
• 2.10驱动代码中C和C++代码区别
• 2.1HelloWorld简单的驱动
• 2.2驱动的卸载
• 2.3内核常用API
• 2.4驱动内核基础框架
• 2.5内核驱动创建设备
• 2.6基础驱动开发_Winobj查看设备对象
• 2.7EasySYS快速创建驱动框架
• 2.8NT式驱动的安装
• 2.9NT式驱动的卸载
• 3：内核开发基础
• 3.10驱动下的异常处理
• 3.1键盘过滤框架（找到所有键盘设备）
• 3.2在驱动中使用链表
• 3.3Lookaside结构
• 3.4运行时函数
• 3.5内存管理–(其他)
• 3.6内核模式下的字符串操作
• 3.7内核模式下的文件操作
• 3.8驱动操作注册表–(创建)
• 3.9驱动对注册表的其他操作
• 4：与内核交互
• 4.10实战EXE和SYS通信-(其它模式）
• 4.1派遣函数的简单处理
• 4.2应用程序打开驱动
• 4.3编写更通用的派遣函数
• 4.4跟踪IRP的利器IRPTrace
• 4.5缓冲区的操作与读写
• 4.6缓冲区设置模拟文件读写
• 4.7Sys与Exe文件的通讯A
• 4.8实战EXE和SYS通信(缓冲模式)
• 4.9实战EXE和SYS通信(直接)
• 5：内核同步
• 5.1驱动程序的同步问题–(知识介绍)
• 5.2提升IRQ与自旋锁
• 5.3用户模式的事件与信号灯
• 5.4用户模式的互斥体与线程等待
• 5.5内核下的事件对象与应用程序的交互
• 5.6内核下的互斥体
• 5.7IRP的同步与异步操作原理
• 6：ByPass基础
• 6.10添加默认派遣例程
• 6.1R3对抗R0过保护
• 6.2R3对抗R0钩子部分
• 6.3R3对抗R0链接库部分
• 6.4R3对抗R0派遣部分
• 6.5驱动保护原理+实战
• 6.6为DDK_HelloWorld添加设备例程
• 6.7VM+windbg安装
• 6.8VM+Wlndbg调试驱动
• 6.9DDK_HelloWorld卸载例程细化
• 7：ByPass入门
• 7.10过DXF保护的原理
• 7.1需要具备的理论知识
• 7.2读出SSDT表当前函数地址1
• 7.3读出SSDT表当前函数地址2
• 7.4JMP地址转换公式推导
• 7.5绕过驱动保护1
• 7.6绕过驱动保护2
• 7.7如何编程HOOK_SSDT
• 7.8再谈HOOK_SSDT
• 7.9DXF恢复inline_HOOK原理
• 8：ByPass循序渐进
• 8.10绕过所有用户层HOOK
• 8.1编程实现过TesSafe保护（有待修改）
• 8.2实现过TX_inline_hook
• 8.3如何获得Shadow_SSDT表(后面详细讲解)
• 8.4写文件和读文件(选学)
• 8.5应用层勾子IAT_HOOK
• 8.6PE结构实现_IAT_HOOK
• 8.7应用层勾子InLine_HOOK
• 8.8勾住Shadow_SSDT
• 8.9真正勾住Shadow_SSDT
• 9：ByPass深入浅出
• 9.1IDT中断描述符表
• 9.2过DXF保护实例分析
• 9.3DXF驱动保护思路代码
• 9.4真正过TP让CE可以附扫描
• 9.5过龙之谷GPK游戏保护
• 9.6过梦幻西游NECHECK保护
• 9.7过DebugProt
• 9.8白名单与校验的对抗
• peoject
• DdiMon-master
• FU_Hypervisor-master
• ksm-master
• SimpleSvmHook-master
• SysCall驱动框架
• rnm
• DebugView
• IDA
• VA
• VirtualBox
• VS2017
• VS插件
• WDK
• x64Dbg
• 参考书籍
• 参考源码
• 代码融合
• 模板视频
• 驱动加载工具
• 双机调试
• 系统激活工具