Qmeimei's Blog

「探索一切，攻破一切」

win内核调试原理揭秘5 -- 创建调试

前言前几篇我们分析了windows的调试体系，但是使用的例子是附加调试的，但是创建调试有着些许不同 CreateProcessW 我们来看一个创建进程的函数 1 2 3 4 5 6 7 8 9 10 11 BOOL __stdcall CreateProcessW( LPCWSTR lpApplicationName, LPWSTR lpCommandLin...

Posted by Qmeimei10086 on August 14, 2026

win内核调试原理揭秘4

这次我们来看被调试进程是如何发送调试事件的，以及送大家一个有趣反调试拿异常举例，当发生异常，如果检测到有调试器，会先发给调试器，调用这个函数 DbgkForwardException 分析 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘3

我们来看WaitForDebugEvent和ContinueDebugEvent WaitForDebugEvent 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 ...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘2

ok啊我们继续来分析DbgkpPostFakeProcessCreateMessages和DbgkpSetProcessDebugObject DbgkpPostFakeProcessCreateMessages 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 ...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘1

前言身为一名逆向人员，ida，x64dbg几乎是我们无法离开的工具，这些调试器的背后的原理是什么所谓各路五花八门的反调试，调试器检测，无痕hook，线程逃逸又是什么接下来的几篇博客，我将带大家深入内核，探究windows内核里的调试体系一个简单的调试器我们来看一个最简的调试器代码 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 ...

Posted by Qmeimei10086 on July 12, 2026

win内核初探2-无LoadLibrary的DLL注射器样本

前言作为学习windows内核机制的记录，顺便水一篇博客嘻嘻参考https://www.bilibili.com/video/BV1qK6QBrEqH 代码 injector.h 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 #pragma once #include <Windows.h> #incl...

Posted by Qmeimei10086 on April 5, 2026

[PolorisCTF 2026]ezre-又到了我最喜欢的猜猜爆环节

前言观前提示，本题内涵: 逆向特有的无意义的工作量叠加我最喜欢的玄学数据流追踪黑盒函数我直接猜猜爆请配合https://qmeimei10086.github.io/2026/01/19/angr%E7%AC%A6%E5%8F%B7%E6%89%A7%E8%A1%8C%E5%AF%B9%E6%8A%97ollvm/ 食用题目分析拿到手是一个client/s...

Posted by Qmeimei10086 on April 1, 2026

win内核初探1-PTEhook坑总结

前言 CTF已经毁了! 当然这只是个笑话，但是CTF圈子现状确实非常令人担忧，大量的AI使CTF失去了学习知识初衷，为了分数和抢血，CTFer疯了一般往里面砸钱，ctf已然变成财力于AI调教水平的对决这种情况下，真正要毁了的是我，还有那些刚入门的新手所以我希望抽身出来，认真学习一些知识，身为re手，我便挑选了内核作为学习方向 PTEhook 请看： https://xz.aliy...

Posted by Qmeimei10086 on March 28, 2026

[VNCTF 2026]Shadow-驱动dump修复+反射注入+ptehook

前言赛后对着liv师傅的博客瞪半天还是复现出来了，主要是当时不会修dump，系统函数都识别出来还算好说，毕竟有万能的ai大人不过这次意外发现了一个非常好的修dump的方法，只要dump下来的内存中有int的内存残影，甚至比unicorn模拟执行的方法还好用粗略分析 R3的maze.exe没什么好分析的，真就是一个迷宫，R0的Shadow.sys就比较有意思了，是一个经典的反射注入，这里...

Posted by Qmeimei10086 on February 5, 2026

[VNCTF 2026] 逆向WP合集

前言好累啊，这几天都是比赛，也没学到多少不过vn的wp写都写了，干脆水一篇博客吧拼尽全力写出两题简单的，我好菜我好菜我好菜我好菜我好菜我好菜…….. Login APK逻辑一开始接受一个key，调用native函数setkey设置 username和passwd组成payload和一个字符传入native函数encryptd反回enc enc+payload传入native函数...

Posted by Qmeimei10086 on February 1, 2026