Windowsカーネルから見るオブジェクトハンドル - ラック・セキュリティごった煮ブログ
デジタルペンテスト部の北原です。 今回は、Windowsでのツール開発者にとっては重要なハンドルの内部について解説します。 Windowsでは、ファイルやプロセスから始まりすべてのリソースはオブジェクトとして扱われ、ファイルの削除やメモリの確保にはハンドルを取得する必要があります。 ツールやアプリケーションの開発者にとっては、日常的にハンドルを操作する機会がありますが、通常の利用者にとってはあまり意識するものではありません。 本記事では、Windows OSでのハンドルの役割と、OS内部でどの様に管理されているのかについて解説します。 記事の構成は以下の通りです。 ハンドルの役割とアクセス権限 ハンドルへの情報の問い合わせと操作 カーネル空間でのハンドル管理 応用例1 - オブジェクトをロックしているプロセスの特定 応用例2 - カーネルモードルートキット 本記事は以下の読者層を想定してい
FDのコピープロテクト : プログラミング指南 - Code Knowledge
プログラミング指南 - Code Knowledge ゲーム制作に関するプログラミング等を主に書き溜めていきます。ただ、どちらかと言えば日記的な書き方が続くと思いますが、そこは温かい目で見て頂ければ。あと、ちょっとしたサンプルやツールのダウンロードも出来るようにしておきます。 レトロPCは最初は安価なカセットテープを記憶媒体として使っていました。その後に登場したのがフロッピーディスク（以下FDと略す）です。カセットテープが何分もロードに必要なところを数秒から数十秒で完了し、かつ、ランダムアクセスが可能なFDは、当時は高価な周辺機器だったにもかかわらず、あっという間に一般に浸透していきました。また、ドライブの価格も一気に値下がりしていったのを覚えています。 ところが、この便利なFDは便利であるが故の問題を抱えていました。それが不正コピーです。ゲームソフトハウスが発売した製品も、簡単に複製でき
mattn on Twitter: "Windows は UNIX と違い、コマンドを入力した際にカレントディレクトリにある実行モジュールまでも実行してしまうんだけど、環境変数 NoDefaultCurrentDirectoryInExePath でそれを制御できると… https://t.co/gP3p09Eodo"
Windows は UNIX と違い、コマンドを入力した際にカレントディレクトリにある実行モジュールまでも実行してしまうんだけど、環境変数 NoDefaultCurrentDirectoryInExePath でそれを制御できると… https://t.co/gP3p09Eodo
WindowsのコマンドラインからUSBデバイスについて調べる方法 (1/2)
PowerShellのGet-CimInstanceコマンドを使うと、コマンドラインからUSBデバイスなどを検索で見つけることができる USBデバイスについて調べたくなることがある。簡単な方法としては、コントロールパネルのデバイスマネージャーがあるが、デバイスを探す場合は目視となるため、どうも面倒なことが多い。最近では、ラップトップやタブレットなどの内蔵デバイスもUSB接続になっていることがあり、マウスやキーボードのようにケーブルがつながっているものだけがUSBデバイスとして存在するわけでもない。 USBデバイスをコマンドラインで調べる コマンドラインから簡単にUSBデバイスを調べるには、PowerShellのGet-CimInstanceコマンドが利用できる。このとき、以下の表のようなクラスを指定することで各種のUSB関連情報を得ることが可能だ。 まず、すべてのデバイスは、「Win32_
メモリダンプと模様が見える男｜kamezawa.hiroyuki
10年以上前の昔話であり、そんなこともあったのねという話。あるいはエンタープライズサポートってそんなことやってるのねという話。 カーネルメモリダンプLinuxカーネルをエンタープライズに使おうとした企業、富士通やIBM、日立といった企業がこぞってカーネルに入れようとした機能がカーネルがパニックした時に「なぜコケたのか」調べるための機能であった。その最たるものがメモリダンプだった。この機能はカーネルパニックが起きた後のメモリをディスクに吐き出す。この吐き出されたメモリイメージをダンプと呼び、これをデバッガに食わせて原因調査をする。 カーネルデベロッパはパニックが起きたら再現条件を探して理詰めでバグを探すのが得意だが、顧客先でパニックが起きたら「再現させてくれ」とは中々言えないのでこの機能はサポートには重要だった。そして、ダンプ調査の技を持つエンジニアも居た。 地雷型メモリ破壊パニック色々と調
Microsoft Windows 7がクラッシュする、再起動する、またはブルースクリーンが表示される | Dell 日本
この記事では、Windows 7のブルー スクリーン エラーの概要、それらが発生する理由、それらを特定して修正する方法について説明します。 目次: ブルースクリーンエラーとは オンラインDiagnostics（診断）を実行 一般的なブルースクリーンエラーメッセージをトラブルシューティング 0x000000EDおよび0x0000007B 0x00000024 0x0000007Eおよび0x0000008E 0x00000050 0x000000D1 0x000000EA Windowsデバッガの使用 この文書は、Microsoft Windows 7に特化した内容です。 OSを変更するにはこちらをクリックしてください。 Windows 10 Windows 8 Windows Vista Windows XP デル推奨: Windows 7のSTOP（ブルー スクリーン）エラーを解決する（M
目grep入門 +解説
目grep入門があまりにもKernelVM::入門だという指摘があったため、解説をつけてよりstd::入門に近づけてみました。
Registry Dumper – Find and Dump Hidden Registry Keys | Kahu Security
The cybercriminals behind Poweliks implemented two clever techniques in their malware. The first was leveraging rundll32.dll to execute Javascript and the second was using a method to hide/protect their registry keys. I’ll be focusing on the second method. The technique of hiding/protecting registry keys using a non-ASCII character goes all the way back to over a decade ago. It’s remarkable in a s
)
IE が不規則にクラッシュする問題
私はバグのあるソフトウェアの影響を受けなくて済む日が来るのを待ち焦がれてはいますが、自分の身に起こったトラブルシューティングが必要な問題を解決すると、良いこともあります。トラブルシューティングの過程では、私の "技法コレクション" に追加して "Case of the Unexplained..." (原因不明の...の問題) というプレゼンテーションやブログ記事で皆さんにご紹介できる新しい手法が見つかることがよくあります。先日も、非常に興味深い事例を無事に解決することができました。この事例は、私が Web ページを読んでいるときに Internet Explorer (IE) がクラッシュしたことから始まります。次に示すのは、その際に表示されたダイアログ ボックスです。 図 1 私は、システムでもアプリケーションでも、クラッシュが発生したときは必ず調べてみます。保証はできませんが、数分も
あなたは全部知っていますか？プログラミングの業界用語30選 | POSTD
Stack Overflowは、私が学習に役立ててきた多くのオンライン・コミュニティと同じように、自然と厳しくなってきました。第一にこれは、自己防衛機能です。子どもが初めて学校や託児所に入ると広大な世界にさらされて、 髄膜炎菌症を発症 して日々くしゃみやせきを繰り返しながら成長するのと同じような免疫システムです。常に好ましいことだとは言い難いですが、生き残るためには必要なプロセスなのです。 2年前に投稿された、下記の質問のことを考えてみてください。 あなたが新しく作ったプログラミングの業界用語は何ですか？ あなたが作り、あなたの周りで使われるようになった、プログラミングの用語は何ですか？（他の人が真似して使っているのを聞いた、など）あなた独自の言い方が、職場内でのみ使われていたり、インターネット上で幅広く普及していたりすることもあるでしょう。 独自のプログラミングの用語、単語、言い回しを太
Visual Studioを使ったネットワークカーネルデバッグの方法
こんにちは、JS です。 今回は、Visual Studio を使ったネットワーク接続でのカーネルデバッグについて、設定の手順を紹介したいと思います。 最近、シリアルポートがない PC が多いため、手軽に利用できるネットワークケーブルでのカーネルデバッグの接続方法に関するお問い合わせが増えております。WinDbg を使った方法は、すでに K 里さんが「ネットワークケーブルを用いたカーネルデバッグ接続の設定手順」で書かれているので、今回は Visual Studio で接続する方法をご案内したいと思います。MSDN ドキュメントにも、「Setting Up Kernel-Mode Debugging over a Network Cable in Visual Studio」の記事が用意されているので、併せてご確認いただければ幸いです。 主な手順は以下の 3 つになります。 1．環境の用意
メモ: Windows のコマンド プロンプトで wget のようなこと (ツール不使用)
自著の書籍、記事、技術文書のフォローアップとか... （注：このブログは 2024 年 3 月以降更新されません。今後、予告なくサイトを閉鎖することがあります。ブログ主の引っ越し先は こちら） Windows のコマンド プロンプトしか利用できない環境でインターネットからバイナリ ファイルをダウンロードする方法のメモ。自分用のメモですが、参考になれば... 要は、Server Core や Hyper-V Server、システム回復環境（Windows RE）、Windows PEなどで、特別なツールは使用せずに UNIX や Linux の wget のようなことをしたいってこと。※本当は、Windows RE や Windows PE (カスタマイズなしの) でやりたかったんですけど、そちらは断念。 Windows PowerShell が利用できる場合... $webclient =
System32に潜むGatherNetworkInfo.vbsの謎を追え！
連載目次 GatherNetworkInfo.vbsは正真正銘、Windowsのシステムファイルです Windows 7およびWindows Server 2008 R2以降のWindowsには、「％Windir％（通常、C:\Windows）\System32」フォルダーに「GatherNetworkInfo.vbs」が存在します（画面1）。 このファイルはWindows Script Host（WSH）で実行可能なVBScriptのスクリプトです。「Windowsファイル保護」（Windows File Protection：WFP）の対象となっているシステムファイルであり、悪意のあるファイルに置き換えられないようにシステムで保護されています。通常の方法では書き換えることはもちろん、削除することもできません。 「GatherNetworkInfo.vbs」には、ハードウェアやOSのシス
ホットパッチの仕組み - ペンギンの備忘録
だいたいの関数は関数プロローグ、関数コード、関数エピローグの3つの部分に分けて考えることが出来ます。コンパイルされた関数のアセンブリコード(x86)を見ると、ほとんどは次のような形になっていると思います。 mov edi,edi push ebp mov ebp,esp これが関数プロローグにあたる部分で、要は関数コードを実行するための準備と呼び出し元へ戻るための情報の退避をしているわけですが、一番最初に出てくるmov edi,ediという命令は、実行しても何ら意味のない命令です。この意味のないmov命令は、プログラムを停止させることなく実行中のコードにパッチを当てる、ホットパッチと呼ばれる機能のためにあります。ホットパッチはmov命令をjmp命令に置き換えて必要な箇所に処理を飛ばすことで実現できます。ただしmov edi,ediは2バイト命令ですので、jmp命令が指せるアドレスは127バ
Windows 2000-XPのFont Link機能(Font Linking)の紹介
Windows 2000/XPのFont Link機能 (Font Linking) 注意：半角かなが混じっているので、Shift-JIS環境でないと文字化けする可能性があります。 目次 はじめに レジストリの編集 説明 注意点 使用例 参考文献 さいごに はじめに フォントの組み替えができるFontLink 機能(原語はability) は、どうやら英語版Windows CE (iPAQなど) の日本語化ページでしか紹介されてようなので、紹介ページを作ってみました。 この機能を使うと英語のフォントに、日本語のフォントが組み込めます。 ただ残念なのは、Windows CEと違って、元のフォントが持っている文字をマスクできないので、機能の自由度が低いことです。 まんがの吹き出しで使われる、漢字かな混植フォントを使いたい作りたいのであれば、 Homeの「混植フォントを合成(memo)」を参照し
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
プログラムを動かす時にメモリがどのように割り当て・解放されるのかをめちゃくちゃわかりやすいイメージ画像で解説してくれるサイト「Memory Allocation」
プログラムを動かしてるプログラムって何なの？ : VIPPERな俺
Archived MSDN and TechNet Blogs
「グル」や「ウィザード」と呼ばれるレベルのハッカーになりたいです
バイナリかるた