有谁知道 NT Loader 的结构吗？

Highway2000 2000-09-06 10:19:00

有 NTLDR 的源代码吗？

...全文

149 5 打赏收藏转发到动态举报

写回复

5 条回复

切换为时间正序

请发表友善的回复…

发表回复

colarcui 2000-11-26

打赏
举报

回复

关注。

Highway2000 2000-11-26

打赏
举报

回复

感谢 SCUM！非常有用！不过好像没完啊？还有吗？请 email 过来！！

SCUM 2000-11-26

打赏
举报

回复

http://interchannel.8u8.com 上放了我收集的资料，你可以看看对你有没有帮助。

Highway2000 2000-09-25

打赏
举报

回复

工作过程也行！

Highway2000 2000-09-06

打赏
举报

回复

有人知道吗？

一般多系统引导程序(如Smart Boot Manager, BootStar, PQBoot等)都是将标准主引导记录替换成自己的引导程序,在运行系统启动程序之前让用户选择想要启动的分区.而某些系统自带的多系统引导程序(如 LILO,NT Loader等)则可以将自己的引导程序放在系统所处分区的第一个扇区中,在Linux中即为两个扇区的SuperBlock. 注：以上步骤中使用的是标准的MBR,多系统引导程序的引导过程与此不同.

描述： ExecuteAssembly是使用C / C ++构建的CS执行程序集的一种替代方法，它可用于通过以下方式加载/注入.NET程序集；重用主机（spawnto）进程加载的CLR模块/ AppDomainManager，重载Loader / .NET程序集PE DOS标头，取消链接.NET相关模块，绕过ETW + AMSI，避免通过NT静态系统调用（x64）进行EDR钩子并通过动态解析来隐藏导入通过superfasthash哈希算法的API。 TLDR（功能）：与CLR相关的模块与PEB数据结构断开链接。（使用MS“ ListDLLs”实用程序而不是PH进行确认）踩踏.NET Aseembly和Reflective DLL标头（MZ字节，e_lfanew，DOS标头，富文本格式，PE标头）。使用静态硬编码的系统调用绕过EDR挂钩。（仅x64支持，从WinXP到Wi

[上一页 [下一页] 前言 Windows Driver Model(WDM)的根源可追溯到几年前一种叫做Windows for Workgroups 3.10的操作系统。那时候我们努力地支持无数不同的SCSI控制器，我长期地注意WindowsNT开发组创建的小端口驱动程序类型。不久就认识到重新构造必要的映象加载器(image loader)和小端口驱动程序需要的执行环境比把这些小端口驱动程序重写成某些VXD形式的驱动程序并调试完毕所花费的努力要少得多。不幸的是,Windows from Workgroups 3.10已经停止发行带有SCSI小端口支持的版本,主要是由于象ASPI(高级SCSI编程接口)这样的外围问题。然而，跨Windows和windows NT操作系统共享同样的驱动程序执行映象的基础是适当的并且可以在win95中见到，它(win95)可以与NT共享SCSI和NDIS小端口驱动程序二进制代码。共享驱动程序模式的潜在意义是重大的。驱动程序开发人员感兴趣的是支持双平台，共享驱动模式能降低开发和调试的一半开消。对微软来说，共享模式意味着更容易地从win9x迁移到Windows2000或这个平台的未来版本。对最终用户来说，大量不同种类的稳定驱动程序可以在这个家族中的所有成员之间通用。下一个(逻辑)步骤是 The next logical step, then, was to create a driver model with the ability to share general purpose drivers across both platforms. But what form should it take? Three requirements were immediately obvious: it must be multiprocessor-capable, it must be processor-independent, and it must support Plug and Play (PnP). Fortunately, the Windows NT 4.0 driver model met the first two requirements, and it seemed clear that the next major release of Windows NT would support PnP as well. As a result, WDM can be considered a proper subset of what is now the Windows NT driver model. The potential benefits of a shared driver model can be realized today for many classes of devices, and choosing the WDM driver model will continue to pay dividends in the future. For example, a correctly written WDM driver requires only a recompile before functioning in an NT 64-bit environment prototype. WDM will continue to evolve as new platforms and device classes are supported. Future versions of Windows 9x and Windows 2000 will contain upwardly revised WDM execution environments. Fortunately, WDM is designed to be "backward compatible," meaning that WDM drivers written according to the Windows 2000 DDK and designed to work for the intended environment will continue to work in a subsequent WDM environments. There is a lot to WDM, and in this book Walter does an excellent job in offering an in-depth tour of every aspect as well as the philosophy of the Windows Driver Model. Forrest Foltz 微软公司Windows开发体系结构设计者

目录：本手册的功能读者对象本手册的组织结构排版风格如何使用本手册其它相关文件（外国人就是罗嗦，为了求全，只好随他了。）第一章欢迎使用SoftICE 产品概况介绍SoftICE 介绍Symbol Loader 如何得到客户服务联系NuMega公司的技术支持中心第二章安装SoftICE 介绍硬件和软件要求 SoftICE显示选择安装之前安装安装之后配置BOOT。INI以便在多处理器系统中支持单CPU 配置SoftICE在Windows 95下正确载入通过串行口连接第二台计算机解决显卡问题第三章 SoftICE教程介绍载入SoftICE 构造GDIDEMO样本程序装入GDIDEMO样本程序控制SoftICE屏幕通过源码跟踪和逐步调试读本地数据设定断点和目标断点设定一个断点设定STICKY断点（此处不知STICKY作何解释。待我读到此处时大概会明白）使用SoftICE命令行信息使用符号和符号表设定条件断点设置BPX断点编辑断点设定读写内存断点第四章将代码装入SoftICE 调试的概念准备调试程序准备调试设备驱动程序和VxDs（虚拟设备驱动程序）手工装入SoftICE 装入SoftICE for Windows 95 装入SoftICE for Windows NT 构造带有调试信息的程序使用Symbol Loader转换和载入文件修改模块设定修改通用设定修改编译设定修改调试设定指定程序的源文件删除符号表在DOS命令行里使用Symbol Loader 使用Symbol Loader的命令行工具 NMSYM命令行的语法使用NMSYM来转换符号信息使用NMSYM来装入模块和符号信息使用NMSYM来装入或导出符号表使用NMSYM卸载符号信息使用NMSYM来保存历史记录关于NMSYM的信息第五章 SoftICE导航介绍呼出SoftICE窗口启动时禁用SoftICE 使用SoftICE窗口调整窗口大小控制窗口拷贝和粘贴数据用鼠标输入命令得到帮助使用命令窗口滚动窗口键入命令重呼命令使用运行时宏将命令窗口的历史缓存保存到文件相关命令控制代码窗口读信息在代码窗口键入命令使用本地窗口控制本地窗口扩展和分解堆栈相关命令使用观察窗口控制观察窗口设定观察表达式读信息扩展和分解类型表达式相关命令使用寄存器窗口控制寄存器窗口读信息编辑寄存器和标志位相关命令使用数据窗口控制数据窗口读信息改变内存地址和格式编辑内存辅助表达式相关命令第六章使用SoftICE 在跟踪错误时调试多个程序跟踪错误 Ring-3 32位保护模式（Win32程序） Ring-0 驱动代码（内核模式设备驱动程序） Ring-3 16位保护模式（16位Win程序）地址内容使用INT 0x41 .DOT命令理解从R-3到R-0的转变第七章使用断点第八章 ----------------------------------------------------------- (...很累人那!今天就这些了吧.因为我也是读一些翻译一些,所以有些"向前引用 "的名词术语不知道要如何解释其意义.应该读完再翻译比较好...不过那个时候我又开学了...呜...一点时间也没有了!) 第七章使用断点介绍 SoftICE所支持的断点类型断点选项执行断点内存断点中断断点 I/O断点窗口消息断点理解断点的含义虚断点设置断点活动条件断点条件断点计数功能在条件表达式中使用本地变量在条件断点里引用堆栈参考多重断点所用时间断点统计在表达式中引用断点维护断点使用内嵌断点第八章使用表达式表达式操作符操作符优先级形成表达式表达式类型定制类型取得符号的数值间接使用符号第九章装入系统组件符号装入由DLL和EXE文件导出的符号表使用未命名的入口点

第1章 PE文件格式深入研究 1.1 PE文件格式格式纵览 1.1.1 区块（Section） 1.1.2 相对虚拟地址（Relative Virtual Addresses） 1.1.3 数据目录 1.1.4 输入函数（Importing Functions） 1.2 PE文件结构 1.2.1 The MS-DOS头部 1.2.2 IMAGE_NT_HEADERS头部 1.2.3 区块表（The Section Table） 1.2.4 各种块（Sections）的描述 1.2.5 输出表 1.2.6 输出转向（Export Forwarding） 1.2.7 输入表 1.2.8 绑定输入（Bound import） 1.2.9 延迟装入数据（Delayload Data） 1.2.10 资源 1.2.11 基址重定位（Base Relocations） 1.2.12 调试目录（DebugDirectory） 1.2.13 NET头部 1.2.14 TLS初始化 1.2.15 程序异常数据第2章 PE分析工具编写 2.1 文件格式检查 2.2 FileHeader和OptionalHeader内容的读取 2.3 得到数据目录(Data Dircetory)信息 2.4 得到块表(SectionTable)信息 2.5 得到输出表(ExportTable)信息 2.6 得到输入表(ImportTable)信息第3章 Win32 调试API 3.1 Win32调试API原理 3.1.1 调试相关函数简要说明 3.1.2 调试事件 3.1.3 如何在调试时创建并跟踪一个进程 3.1.4 最主要的循环体 3.1.5 如何处理调试事件 3.1.6 线程环境详解 3.1.7 如何在另一个进程中注入代码 3.2 利用调试API编写脱壳机 3.2.1 tElock 0.98脱壳简介 3.2.2 脱壳机的编写 3.3 利用调试API制作内存补丁 3.3.1 跨进程内存存取机制 3.3.2 Debug API机制第4章 Windows下的异常处理 4.1 基本概念 4.1.1 Windows下的软件异常 4.1.2 未公开的可靠吗 4.2 结构化异常处理（SEH） 4.2.1　异常处理的基本过程 4.2.2 SEH的分类 4.2.3 相关API 4.2.4　SEH相关数据结构 4.3 异常处理程序设计 4.3.1　顶层（top-level）异常处理 4.3.2 线程异常处理 4.3.3 异常处理的堆栈展开（Stack unwind） 4.3.4 异常处理程序设计中的几个注意事项： 4.4 SEH的简单应用 4.4.1 Win9x下利用SEH进ring0 4.4.2 利用SEH实现对自身的单步自跟踪 4.4.3 其它应用 4.5 系统背后的秘密 4.6 VC是如何封装系统提供的SEH机制的 4.6.1 扩展的EXCEPTION_REGISTRATION级相关结构 4.6.2 数据结构组织 4.7 Windows XP下的向量化异常处理（VEH）第5章软件加密技术 5.1 反调试技术（Anti-Debug） 5.1.1 句柄检测 5.1.2 SoftICE后门指令 5.1.3 int68子类型 5.1.4 ICECream子类型 5.1.5 判断NTICE服务是否运行 5.1.6 INT 1 检测 5.1.7 利用UnhandledExceptionFilter检测 5.1.8 INT 41子类型 5.2 反跟踪技术（Anti-Trace） 5.2.1 断点检测 5.2.2 利用SEH反跟踪 5.2.3 SMC技术实现 5.3 反加载技术(Anti-Loader) 5.3.1 利用TEB检测 5.3.2 利用IsDebuggerPresent函数检测 5.3.3 检查父进程 5.4 反DUMP技术(Anti-Dump) 5.5 文件完整性检验 5.5.1 CRC校验实现 5.5.2 校验和（Checksum） 5.5.3 内存映像校验 5.6 反监视技术(Anti-Monitor) 5.6.1 窗口方法检测 5.6.2 句柄检测 5.7 反静态分析技术 5.7.1 扰乱汇编代码 5.7.2 花指令 5.7.3 信息隐藏 5.8 代码与数据结合技术 5.9 软件保护的若干忠告第6章加壳软件编写 6.1 外壳编写基础 6.1.1 判断文件是否是PE格式的EXE文件 6.1.2 文件基本数据的读入 6.1.3 额外数据保留 6.1.4 重定位数据的去除 6.1.5 文件的压缩 6.1.6 资源区块的处理 6.1.7 区块的融合 6.1.8 输入表的处理 6.1.9 外壳部分的编写 6.1.10 将外壳部分添加至原程序 6.1.10 小结 6.2 加壳程序综合运用的实例 6.2.1 程序简介 6.2.2 加壳子程序（WJQ_ShellBegin（）） 6.2.3 PE外壳程序 6.2.4 加进Anti技术 6.2.5 通过外壳修改被加壳PE 6.2.6 VC++调用汇编子程序第7章如何让壳与程序融为一体 7.1 序 7.1.1 为何需要壳和程序一体化 7.1.2 为阅读此章节需要的知识 7.1.3 基于此章节用的的例子程序说明 7.2 欺骗检查壳的工具 7.2.1 fi是如何检查壳的 7.2.2 欺骗fi 7.3 判断自己是否给脱壳了 7.3.1 判断文件尺寸 7.3.2 检查标记 7.3.3 外部检测(使用dll) 7.3.4 hook 相关的api(防止loader和调试api) 7.4 使用sdk把程序和壳溶为一体 7.4.1 sdk的意义 7.4.2 做一个带sdk的壳 7.5 后记:关于壳和程序的思考第8章 Visual Basic 6 逆向工程 8.1 简介 8.2 P-code传奇 8.3 VB编译奥秘 8.4 VB与COM 8.5 VB可执行程序结构研究 8.6 VB程序事件解读 8.7 VB程序图形界面（GUI）解读 8.8 VB程序执行代码研究 8.9 我们的工具 8.10 VB程序保护篇附录A 在Visual C++中使用内联汇编附录B 在Visual Basic中使用汇编

6,849

社区成员

178,034

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章