v5le0n9's garden

类加载器与动态加载是学习Android加壳与脱壳的需要。

这篇笔记是学习看雪“非虫”的《Android软件安全与逆向分析》一书中的内容所写。

没想到吧，我又润来学安卓了。。。实习就是这样的啦，多点尝试。

Android是基于Linux开发的，所以了解ELF格式对学习Android逆向和Linux逆向是必不可少的。

可执行与可链接格式 （Executable and Linkable Format，ELF），常被称为 ELF格式，是一种用于可执行文件、目标代码、共享库和核心转储（core dump）的标准文件格式，一般用于类Unix系统，比如Linux，Macox等。ELF 格式灵活性高、可扩展，并且跨平台。比如它支持不同的字节序和地址范围，所以它不会不兼容某一特别的 CPU 或指令架构。这也使得 ELF 格式能够被运行于众多不同平台的各种操作系统广泛采纳。

这篇文章来自深信服的《外部威胁防护和勒索病毒对抗》，对知名安全厂商的威胁防护措施有个基本了解，包括网络安全面临的挑战、如何有效应对挑战、深信服安全建设之道等等。

WannaCry复现过程十分繁琐，仅推荐大家理解漏洞利用的基本过程。这里使用了两种复现方法，一种是Python构建shellcode代码攻击，以及双星脉冲漏洞、DLL文件的设置与后续逆向分析均有关，另一种是我们常用的MSF。

基于PE数字签名，微软证书漏洞(CVE-2020-0601)在实现椭圆曲线加密(ECC)算法数字证书验证时产生，位于CryptoAPI.dll文件。可被利用与伪造来组可信任来源的签名或证书，并且因其业务特性会衍生出多种攻击向量，具有极高的可利用价值和极大的潜在破坏力。

在做Android逆向题时就遇到过对APK文件进行签名的题，奇安信面试官跟我说，无论是做哪个平台的逆向，它的大方向、学习路径总是相似的。比如Android逆向有签名、有Hook和注入技术，Windows逆向也是有的。所以这篇笔记就是学习PE文件的数字签名。

宏病毒是Windows平台病毒中的一类，它是一种寄存在文档或模板的宏中的计算机病毒。一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。

.bat文件是DOS下的批处理文件。批处理文件是无格式的文本文件，它包含一条或多条命令。它的文件扩展名为.bat或.cmd。在命令提示下输入批处理文件的名称，或者双击该批处理文件，系统就会调用cmd.exe按照该文件中各个命令出现的顺序依次运行它们。使用批处理文件或脚本，可以简化日常或重复性任务。攻击者通常通过批处理文件的编写来实现多工具的组合入侵、自动入侵及结果提取等功能。