Windowsカーネルから見るオブジェクトハンドル - ラック・セキュリティごった煮ブログ
デジタルペンテスト部の北原です。 今回は、Windowsでのツール開発者にとっては重要なハンドルの内部について解説します。 Windowsでは、ファイルやプロセスから始まりすべてのリソースはオブジェクトとして扱われ、ファイルの削除やメモリの確保にはハンドルを取得する必要があります。 ツールやアプリケーションの開発者にとっては、日常的にハンドルを操作する機会がありますが、通常の利用者にとってはあまり意識するものではありません。 本記事では、Windows OSでのハンドルの役割と、OS内部でどの様に管理されているのかについて解説します。 記事の構成は以下の通りです。 ハンドルの役割とアクセス権限 ハンドルへの情報の問い合わせと操作 カーネル空間でのハンドル管理 応用例1 - オブジェクトをロックしているプロセスの特定 応用例2 - カーネルモードルートキット 本記事は以下の読者層を想定してい
mattn on Twitter: "Windows は UNIX と違い、コマンドを入力した際にカレントディレクトリにある実行モジュールまでも実行してしまうんだけど、環境変数 NoDefaultCurrentDirectoryInExePath でそれを制御できると… https://t.co/gP3p09Eodo"
Windows は UNIX と違い、コマンドを入力した際にカレントディレクトリにある実行モジュールまでも実行してしまうんだけど、環境変数 NoDefaultCurrentDirectoryInExePath でそれを制御できると… https://t.co/gP3p09Eodo
WindowsのコマンドラインからUSBデバイスについて調べる方法 (1/2)
PowerShellのGet-CimInstanceコマンドを使うと、コマンドラインからUSBデバイスなどを検索で見つけることができる USBデバイスについて調べたくなることがある。簡単な方法としては、コントロールパネルのデバイスマネージャーがあるが、デバイスを探す場合は目視となるため、どうも面倒なことが多い。最近では、ラップトップやタブレットなどの内蔵デバイスもUSB接続になっていることがあり、マウスやキーボードのようにケーブルがつながっているものだけがUSBデバイスとして存在するわけでもない。 USBデバイスをコマンドラインで調べる コマンドラインから簡単にUSBデバイスを調べるには、PowerShellのGet-CimInstanceコマンドが利用できる。このとき、以下の表のようなクラスを指定することで各種のUSB関連情報を得ることが可能だ。 まず、すべてのデバイスは、「Win32_
Microsoft Windows 7がクラッシュする、再起動する、またはブルースクリーンが表示される | Dell 日本
この記事では、Windows 7のブルー スクリーン エラーの概要、それらが発生する理由、それらを特定して修正する方法について説明します。 目次: ブルースクリーンエラーとは オンラインDiagnostics（診断）を実行 一般的なブルースクリーンエラーメッセージをトラブルシューティング 0x000000EDおよび0x0000007B 0x00000024 0x0000007Eおよび0x0000008E 0x00000050 0x000000D1 0x000000EA Windowsデバッガの使用 この文書は、Microsoft Windows 7に特化した内容です。 OSを変更するにはこちらをクリックしてください。 Windows 10 Windows 8 Windows Vista Windows XP デル推奨: Windows 7のSTOP（ブルー スクリーン）エラーを解決する（M
Registry Dumper – Find and Dump Hidden Registry Keys | Kahu Security
The cybercriminals behind Poweliks implemented two clever techniques in their malware. The first was leveraging rundll32.dll to execute Javascript and the second was using a method to hide/protect their registry keys. I’ll be focusing on the second method. The technique of hiding/protecting registry keys using a non-ASCII character goes all the way back to over a decade ago. It’s remarkable in a s
)
IE が不規則にクラッシュする問題
私はバグのあるソフトウェアの影響を受けなくて済む日が来るのを待ち焦がれてはいますが、自分の身に起こったトラブルシューティングが必要な問題を解決すると、良いこともあります。トラブルシューティングの過程では、私の "技法コレクション" に追加して "Case of the Unexplained..." (原因不明の...の問題) というプレゼンテーションやブログ記事で皆さんにご紹介できる新しい手法が見つかることがよくあります。先日も、非常に興味深い事例を無事に解決することができました。この事例は、私が Web ページを読んでいるときに Internet Explorer (IE) がクラッシュしたことから始まります。次に示すのは、その際に表示されたダイアログ ボックスです。 図 1 私は、システムでもアプリケーションでも、クラッシュが発生したときは必ず調べてみます。保証はできませんが、数分も
Visual Studioを使ったネットワークカーネルデバッグの方法
こんにちは、JS です。 今回は、Visual Studio を使ったネットワーク接続でのカーネルデバッグについて、設定の手順を紹介したいと思います。 最近、シリアルポートがない PC が多いため、手軽に利用できるネットワークケーブルでのカーネルデバッグの接続方法に関するお問い合わせが増えております。WinDbg を使った方法は、すでに K 里さんが「ネットワークケーブルを用いたカーネルデバッグ接続の設定手順」で書かれているので、今回は Visual Studio で接続する方法をご案内したいと思います。MSDN ドキュメントにも、「Setting Up Kernel-Mode Debugging over a Network Cable in Visual Studio」の記事が用意されているので、併せてご確認いただければ幸いです。 主な手順は以下の 3 つになります。 1．環境の用意
メモ: Windows のコマンド プロンプトで wget のようなこと (ツール不使用)
自著の書籍、記事、技術文書のフォローアップとか... （注：このブログは 2024 年 3 月以降更新されません。今後、予告なくサイトを閉鎖することがあります。ブログ主の引っ越し先は こちら） Windows のコマンド プロンプトしか利用できない環境でインターネットからバイナリ ファイルをダウンロードする方法のメモ。自分用のメモですが、参考になれば... 要は、Server Core や Hyper-V Server、システム回復環境（Windows RE）、Windows PEなどで、特別なツールは使用せずに UNIX や Linux の wget のようなことをしたいってこと。※本当は、Windows RE や Windows PE (カスタマイズなしの) でやりたかったんですけど、そちらは断念。 Windows PowerShell が利用できる場合... $webclient =
System32に潜むGatherNetworkInfo.vbsの謎を追え！
連載目次 GatherNetworkInfo.vbsは正真正銘、Windowsのシステムファイルです Windows 7およびWindows Server 2008 R2以降のWindowsには、「％Windir％（通常、C:\Windows）\System32」フォルダーに「GatherNetworkInfo.vbs」が存在します（画面1）。 このファイルはWindows Script Host（WSH）で実行可能なVBScriptのスクリプトです。「Windowsファイル保護」（Windows File Protection：WFP）の対象となっているシステムファイルであり、悪意のあるファイルに置き換えられないようにシステムで保護されています。通常の方法では書き換えることはもちろん、削除することもできません。 「GatherNetworkInfo.vbs」には、ハードウェアやOSのシス
ホットパッチの仕組み - ペンギンの備忘録
だいたいの関数は関数プロローグ、関数コード、関数エピローグの3つの部分に分けて考えることが出来ます。コンパイルされた関数のアセンブリコード(x86)を見ると、ほとんどは次のような形になっていると思います。 mov edi,edi push ebp mov ebp,esp これが関数プロローグにあたる部分で、要は関数コードを実行するための準備と呼び出し元へ戻るための情報の退避をしているわけですが、一番最初に出てくるmov edi,ediという命令は、実行しても何ら意味のない命令です。この意味のないmov命令は、プログラムを停止させることなく実行中のコードにパッチを当てる、ホットパッチと呼ばれる機能のためにあります。ホットパッチはmov命令をjmp命令に置き換えて必要な箇所に処理を飛ばすことで実現できます。ただしmov edi,ediは2バイト命令ですので、jmp命令が指せるアドレスは127バ
Windows 2000-XPのFont Link機能(Font Linking)の紹介
Windows 2000/XPのFont Link機能 (Font Linking) 注意：半角かなが混じっているので、Shift-JIS環境でないと文字化けする可能性があります。 目次 はじめに レジストリの編集 説明 注意点 使用例 参考文献 さいごに はじめに フォントの組み替えができるFontLink 機能(原語はability) は、どうやら英語版Windows CE (iPAQなど) の日本語化ページでしか紹介されてようなので、紹介ページを作ってみました。 この機能を使うと英語のフォントに、日本語のフォントが組み込めます。 ただ残念なのは、Windows CEと違って、元のフォントが持っている文字をマスクできないので、機能の自由度が低いことです。 まんがの吹き出しで使われる、漢字かな混植フォントを使いたい作りたいのであれば、 Homeの「混植フォントを合成(memo)」を参照し
[PDF] Attacking Obfuscated Code with IDA Pro
Attacking Obfuscated Code with IDA Pro Chris Eagle 7/9/2004 2 Outline • Introduction • Operation • Demos • Summary 7/9/2004 3 First Order Of Business • MOVE UP AND IN! – There is plenty of room up front – I can't increase the font size in IdaPro 7/9/2004 4 Background • IDA Pro – Interactive Disassembler Professional – http://www.datarescue.com/idabase • Premier disassembly tool for reverse enginee
Archive: Scan Code Mapper for Windows
Non-HID keyboards and mice can connect over multiple legacy buses but still use the same class driver. This section contains details on the class drivers themselves. The following sections go into details on the controllers. This article describes the typical physical configuration of keyboard and mouse devices in Microsoft Windows 2000 and later. The following figures show two common configuratio
)
新刊『Windows Sysinternals Administrator’s Reference』を参照して問題を解決する
長らくお待たせし、一部の方には締め切りに大幅に遅れてご迷惑をおかけしましたが、ついに Sysinternals ツールの公式ガイド (英語) が発売されたので、Aaron Margosis と共にここにお知らせします。Sysinternals ツールについての書籍を執筆するという案はかねてから温めていましたが、数年前に『Windows Internals』(Microsoft Press、2009 年) の共著者である Dave Solomon に説得されるまで、実行に踏み切れずにいました。出だしで何度かつまずいた後、早く書き上げるためにだれかと共同で執筆することにしました。そこで、良き友人であり、マイクロソフト コンサルティング サービスの連邦部門に勤務し、日常的に仕事で Sysinternals ツールを長年使用している専門家でもある Aaron に依頼しました。それはすばらしい選択で
Software Diagnostics Library
Structural and Behavioral Patterns for Software Diagnostics, Forensics and Prognostics Most of trace and log analysis pattern illustrations using Dia|gram language are of these two general forms: Although the first form represents typical ETW trace attributes, the analysis pattern descriptions are usually independent of attribute name semantics. It, therefore, makes sense to generalize such forms
Don’t write it, read it instead! - Microsoft Malware Protection Center - Site Home - TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Archived MSDN and TechNet Blogs
HookAPI source code
Windows Sysinternals Forums have moved...
Own Crash Minidump with Call Stack