OleFileView 查看Ole文件数据结构的工具
OleFileView是一个查看结构化存储文件的工具，我们熟悉的Ole存储的文件就是这种格式，虽然很老了，但是依旧被广泛使用，例如老版本Office的文件doc，xls等，包括msi，jumplist等，都是采用的这种格式。所以我也就抽了点时间研究了一下这个数据结构，可以说这就是...
使用WMI监控进程创建和结束
Windows Management Instrumentation (WMI) 是微软实现的一套可以通过网页管理计算机的系统，我们可以通过WMI查询计算机的方方面面。从Vista开始，这个机制增加了Instance Event的提醒机制，这个机制可以帮助我们监控各种Instan...
用Windbg script将内存中的PE文件dump出来
最近看到有些恶意程序，从网络上下载PE文件后，直接放在内存里重定位和初始化，为了能将其dump出来，所以写了这个Windbg脚本。
.foreach( place { !address /f:VAR,MEM_PRIVATE,MEM_COMMIT /...
将blog迁移到了jekyll
上周终于下定决心把blog从wordpress转到jekyll，不是因为wordpress臃肿，也不是因为jekyll的更加Geek，纯粹是因为穷。我一直都觉得wordpress是一个非常伟大的blog程序，虽然臃肿了点，但确实功能强大操作简单，对于我这种懒人和对前端代码完全不熟...
关于Zone.Identifier的一点记录
自从Windows XP SP2开始，微软对文件加入了Zone.Identifier的数据流，所以这个也不算什么新东西了，最近偶然有机会研究了下所以就记录了下来。说起Zone.Identifier，我们最常见的应用就是在我们从Internet上下载了可执行文件后，运行的时候会弹出...
Windows 8 SpellChecking API
在Windows 8下，多了一套很有趣的API，SpellChecking，这套API的作用也是一目了然，是做拼写检查的。这么有趣的一套API怎么能不写个程序玩玩呢，于是我写了个小程序，看了看对英文拼写检查的效果，如图。拼写检查会给出三个结果，分别是删除，替换和建议，根据不同的结...
Windows 8.1 GenericMapping对应的ACCESS_MASK
我们在创建或者打开对象的时候需要指定ACCESS_MASK，有的时候为了方便，我们会在ACCESS_MASK的参数中填GenericRead,GenericWrite这样的值，那么对于这些对象来说，这些GenericXXX究竟是什么样的ACCESS_MASK都是保存在对象的Gen...
MemMapView —— 查看共享内存映射的工具
MemMapView是一个查看Named Shared Memory的工具，它能够枚举系统中的命名共享内存的名称，并且浏览其数据。
下载：MemMapView
...
防止Global Windows Hooks注入的一个方法
我们都知道SetWindowsHookEx可以设置全局钩子，让自己的dll注入到有窗口的进程中去。注入原理就不再赘述了，网上资料很多，简单看一下调用堆栈方便我们说明怎么去防注入。kernel32!LoadLibraryExWUSER32!__ClientLoadLibrarynt...
发现File System Minifilter的一处问题
这两天有个朋友一直问我用用户普通权限连接minifilter server port的问题。给他解答的同时，也发现了这个方面的一个问题。首先说用普通用户权限连接port的方法，其实就是设置FltCreateCommunicationPort参数里ObjectAttributes的...