用Cacls.exe修改文件访问权限

　　现在越来越多的用户使用NTFS文件系统来增强Windows系统的安全性。通常是在图形用户界面（GUI）的“安全”选项卡中对文件或目录访问控制权限进行设置。还有一种设置方式大家可能很少使用，这就是Cacls命令。
　　虽然它是一个基于命令行的命令，使用起来有点繁琐，但只要你合理利用，也会在提高系统安全性方面起到很好的效果。Cacls命令使用格式如下：
　　Cacls filename [/T] [/E] [/C] [/G user:perm] [/R user [...]] [/P user:perm [...]] [/D user [...]]
　　Filename——显示访问控制列表（以下简称ACL）；
　　/T——更改当前目录及其所有子目录中指定文件的 ACL；
　　/E—— 编辑 ACL 而不替换；
　　/C——在出现拒绝访问错误时继续；
　　/G user:perm——赋予指定用户访问权限。Perm 可以是R（读取）、W（写入）、C（更改，写入）、F （完全控制）；
　　/R user——撤销指定用户的访问权限(仅在与 /E 一起使用)；
　　/P user:perm——替换指定用户的访问权限；
　 /D user——拒绝指定用户的访问。

　　1．查看目录和ACL
　　以Windows XP系统为例，笔者使用Cacls命令查看E盘CCE目录访问控制权限。点击“开始→运行”，在运行对话框中输入“CMD”命令，弹出命令提示符对话框，在“E:/>”提示符下输入“Cacls CCE”命令，接着就会列出Windows XP系统中用户组和用户对CCE目录的访问控制权限项目。如果想查看CCE目录中所有文件访问控制权限，输入“Cacls cce/ . ”命令即可。
　　2．修改目录和ACL
　　设置用户访问权限：我们经常要修改目录和文件的访问权限，使用Cacls命令就很容易做到。下面要赋予本机用户Chenfeng对E盘下CCE目录及其所有子目录中的文件有完全控制权限。在命令提示符对话框中输入“Cacls CCE /t /e /c /g Chenfeng:f ”命令即可。
　　替换用户访问权限：将本机用户Chenfeng的完全控制权限替换为只读权限。在命令提示符对话框中输入“ Cacls CCE /t /e /c /p Chenfeng:r ”命令即可。
　　撤销用户访问权限：要想撤销本机用户Chenfeng对该目录的完全控制权限也很容易，在命令提示符中运行“Cacls CCE /t /e /c /r Chenfeng ”即可。
　　拒绝用户访问：要想拒绝用户Chenfeng访问CCE目录及其所有子目录中的文件，运行“Cacls CCE /t /e /c /d Chenfeng”即可。
　　以上只是简单介绍Cacls命令的使用，建议大家亲自尝试一下，你会发现它还有很多奇妙的功能。
Read More...

溢出工具包：Metasploit使用说明

来源：老邪blog
命令行下使用Metasploit

运行后首先看到的是Metasploit欢迎界面，我们输入“？”得到在线帮助（如图1所示）：

图1
可以看到里面有很多的命令，下面我将最重要的几个做简单解释：

“？”：得到帮助。
“cd”:更换当前的工作目录。
“exit”:退出。
“help”:得到帮助。
“info”:显示当前程序的信息。
“quit”:推出程序。
“reload”:载入Exploit和payloads。
“save”:保存当前设置
“setg”:设置一个环境变量。
“show”:显示可用的Exploit和payloads。
“use”:使用一个Exploit。
“version”:显示程序的版本。

虽然有这么多的命令可是常用的也就是“show”、“info”和“use”而已，它们究竟怎么使用呢？

此程序集成了众多的Exploit，所以我们要先了解一下程序中到底有那些溢出工具包，输入“show Exploits”看有哪些可用的Exploit程序先（如图2所示）：

图2
左面显示的是溢出程序的程序名称，右面是相应的简介。可以看到Metasploit中带的溢出程序包还是很多的，完全可以满足我们日常入侵的需要，以后我们就再也不用到存放溢出程序的文件夹中去找半天对应的程序了！

知道了有什么溢出程序，但是怎么使用呢？一般情况下，当我们拿到一个溢出程序后要先阅读溢出程序的帮助文件来查看使用方法，在Metasploit中怎样查看我们需要的溢出程序的使用方法呢？这就用到了Info命令。该命令的作用是显示溢出程序包的详细信息，比如我们想要查看 “iis50_webday_ntdll”溢出工具包的使用方法，在命令行下输入：“info Exploit iis50_webday_ntdll”后得到如图3所示的回显：

图3
蝴蝶：在图3中我们需要注意的是一开始的部分和Available Options中的内容，开始的内容可以告诉我们这个溢出程序是针对什么系统的，而Available Options中的内容是我们下一步所要用到的。

这里需要说明的是在输入的命令中的Exploit是向程序指明我们要查看的是Exploit的信息，当然可以查看的还有Payload的信息，但 Payload是什么呢？其实说白了Payload就是我们平时说的ShellCode。在Metasploit中，溢出所用的ShellCode并不像我们平时用到的溢出工具一样，Metasploit允许我们自己选择自己喜欢的ShellCode，这样就大大提高了溢出的灵活行。

在命令行下输入“show payloads”后可以看到可用的ShellCode列表（如图4所示）：

图4
同样，左面是ShellCode的名字，右面是相应的简介。我们再用Info命令来看一下ShellCode的具体信息，比如我们对一个叫Winexec的ShellCode比较感兴趣，在命令行下输入：Info payload winexec，如图5所示。

图5
在这个对话框中需要注意的同样是开头的信息和Available Options中的内容。在Available Options中，我们可以看到有Required和Optional的字样，Required 代表必选的意思Optional代表是可选可不选的。在下面的具体使用中我们需要用到这里面的选项。

蝴蝶：这里需要说明的是，以BSD开头的是针对BSD系统的ShellCode，以Linx开头的是针对Linux系统的ShellCode，以CMD和WIN开头的是针对Windows系统。因为为不同的系统对不同的ShellCode要求是不一样的，所一在此一定要选择合适的ShellCode才可以成功溢出。

看了这么多基本的命令介绍，下面我们实际溢出一次看看效果！
在实际的溢出中，我们要用到的是USE命令。这里我们仍然以“iis50_webdav_ntdll”溢出工具包为例。在命令行中输入“use iis50_webdav_ntdll”后会切换到“iis50_webdav_ntdll”目录下。输入Show options，查看溢出工具包要求指定输入的内容。如图6所示：

图6
可以看到有两个Required项，这里的Required是和图3中一致的。下面我们来设置这些必须的选项，在命令行下依次输入：
set RHOST 192.168.1.3
set RPORT 80
如图7所示：

图7

在Metasploit中，ShellCode是可自己指定的，怎样指定呢？很简单，依次输入输入：
set payload winexec
set CMD net user hacker 123 /add & net localgroup administrators hacker /add
如图8所示：

图8
第一个命令是指定我们需要用什么样的ShellCode，但是第2个命令是什么意思呢？大家现在回过头去看看图5。发现了什么？呵呵，还记得我提到过的必选项吗？看看Available Options中的CMD必选项和后面的说明。是的，这里的第2个命令的意思就是设置必选项CMD，其实设置的CMD的内容就是我们想要执行的命令。至于什么命令那就看大家的需要了！

好了最基本的设置我们已经完成，最后指明目标主机的操作系统就可以发动攻击了，输入：
show targets
可以看到可供选择的操作系统类型的代表名称。接着输入：
set target 0
选定操作系统。OK，我们确认一下，输入：
Set
可以看到如图9所示的回显：

图9
检查无误后就可以开始溢出了，输入：
Exploit
程序提示溢出开始，只不过我这次试验怎么溢出都不成功，因为对方系统早补了这个漏洞了，这里也就不把图贴出来丢人了，见谅。

图形界面下使用Metasploit

Metasploit图形界面的使用方法和命令行下没有太大的区别，只不过是操作方式的不同罢了：到Metasploit的安装目录下找到Msfweb.bat文件双击运行，一会后程序提示执行成功，如图10所示：

图10
然后打开IE，在地址栏中输入http://127.0.0.1:55555 等一会后看到图11所示的IE窗口：

图11
在想要使用的溢出工具包上单击鼠标左键后进入到基本设置窗口，我们仍然以iis50_webdav_ntdll为例，如图12所示：

图12
单击“select payload”选项进入Payload选择界面，如图13所示：

图13
选择合适的Payload后就进入基本信息的设定界面了，如图14所示：

图14
这里的设置和命令行中介绍的是基本一致的，我就不做额外的说明了。都设定好后，你可以点Vulnerability Check检查看看目标系统有没有相应的漏洞，或者点Launch Exploit进行攻击！

从上面的操作可以看出Metasploit的使用方法是非常简单的，而且功能也是很强大的，对于我们日常的渗透来说是一款很实用的工具。当然，你也许并不满足于软件自带的这些溢出工具，你完全可以自己向这个工具中添加任何你认为对你有用的溢出工具包。相信随着大家的努力，这个工具包可以更加完善！

ps：此工具包现已更新止2.5版本，需要的可以到官方下载。官方网址：http://metasploit.com/projects/Framework/downloads.html
Read More...

VB防火墙的开发原理

信息来源:http://www.chinanethack.com/

火墙主要有日志，网络状态列表,网络状态控制（如拦截）组成的。所以，我们要3个界面，一个是主界面——状态列表。一个是日志界面，一个是控制界面。
打开VB新建一个工程，添加一个窗体。一共要3个窗体，2个模块。太复杂了，我也在考虑怎么写才能让大家理解。文章写的不好，还请大家包含。说下原理：
一、监控 TCP连接

黑客程序或木马程序的本质是实现数据传输。TCP和UDP（用户数据文报协议）是两个最常用的数据传输协议，它们都使用设置监听端口的方法来完成数据传输。

实时监控所有端口的连接情况、及时对异常连接发出警告并提示用户删除异常连接，就可以有效地达到防黑目的。
使用微软的IP助手库函数（iphlpapi.dll）是一个捷径。其中的 GetTcpTable函数能返回当前系统中全部有效的 TCP连接。其定义为：
Declare Function GetTcpTable Lib "iphlpapi.dll" (ByRef pTcpTable As MIB_TCPTABLE, ByRef pdwSize As Long, ByVal bOrder As Long) As Long
其中参数一是 TCP连接表缓冲区的指针，参数二是缓冲区大小（当缓冲区不够大时，该参数返回实际需要的大小），参数三指示连接表是否需要按“Local IP”、“Localport”、“Remote IP”、“Remote port”依次进行排序。
对于监控 UDP连接表，可使用 GetUdpTable函数完成。由于在使用上完全类似，这里略去讨论。
二、异常警告及删除连接
通过定时比较前后两个 TCP连接表，我们可以立即发现异常并发出警告。收到警告信号后，我们应首先将可疑连接删除掉，然后再仔细查找系统中是否有安全漏洞或有可疑进程在工作。IP助手库函数中的 SetTcpEntry函数可以帮助我们删除可疑连接。其定义为：
Public Declare Function SetTcpEntry Lib "IPhlpAPI" (pTcpRow As MIB_TCPROW) As Long 'This is used to close an open port.
在调用此函数之前，应将欲删连接的状态置为 MIB_TCP_STATE_DELETE_TCB（删除）。MIB_TCP_STATE_DELETE_TCB也是目前唯一可在运行时设置的状态。
好了，有了这些，一个放火墙的基本原理以及方法已经知道了，哈哈，我们想将这些函数，API封装起来。建立一个类模块，名称为modNetstat，代码如下
‘-------------------------------------------------modNetstat-------------------------------
Option Explicit

'定义一些ICMP协议

Public MIBICMPSTATS As MIBICMPSTATS
Public Type MIBICMPSTATS
dwEchos As Long
dwEchoReps As Long
End Type

Public MIBICMPINFO As MIBICMPINFO
Public Type MIBICMPINFO
icmpOutStats As MIBICMPSTATS
End Type

Public MIB_ICMP As MIB_ICMP
Public Type MIB_ICMP
stats As MIBICMPINFO
End Type
'GetIcmpStatistics函数能够让你查看当前ICMP数据报的流量
Public Declare Function GetIcmpStatistics Lib "iphlpapi.dll" (pStats As MIBICMPINFO) As Long
Public Last_ICMP_Cnt As Integer

'-------------------------------------------------------------------------------
'定义一些TCP协议

Type MIB_TCPROW
dwState As Long
dwLocalAddr As Long
dwLocalPort As Long
dwRemoteAddr As Long
dwRemotePort As Long
End Type

Type MIB_TCPTABLE
dwNumEntries As Long
table(100) As MIB_TCPROW
End Type
Public MIB_TCPTABLE As MIB_TCPTABLE
'GetTcpTable函数能返回当前系统中全部有效的 TCP连接
Declare Function GetTcpTable Lib "iphlpapi.dll" (ByRef pTcpTable As MIB_TCPTABLE, ByRef pdwSize As Long, ByVal bOrder As Long) As Long
'SetTcpEntry函数可以帮助我们删除可疑连接
Public Declare Function SetTcpEntry Lib "IPhlpAPI" (pTcpRow As MIB_TCPROW) As Long 'This is used to close an open port.
'定义连接状态为13个
Public IP_States(13) As String
Private Last_Tcp_Cnt As Integer

'-------------------------------------------------------------------------------
'定义winsock相关内容

Private Const AF_INET = 2
Private Const IP_SUCCESS As Long = 0
Private Const MAX_WSADescription = 256
Private Const MAX_WSASYSStatus = 128
Private Const SOCKET_ERROR As Long = -1
Private Const WS_VERSION_REQD As Long = &H101

Type HOSTENT
h_name As Long ' official name of host
h_aliases As Long ' alias list
h_addrtype As Integer ' host address type
h_length As Integer ' length of address
h_addr_list As Long ' list of addresses
End Type

Type servent
s_name As Long ' (pointer to string) official service name
s_aliases As Long ' (pointer to string) alias list (might be null-seperated with 2null terminated)
s_port As Long ' port #
s_proto As Long ' (pointer to) protocol to use
End Type

Private Type WSADATA
wVersion As Integer
wHighVersion As Integer
szDescription(0 To MAX_WSADescription) As Byte
szSystemStatus(0 To MAX_WSASYSStatus) As Byte
wMaxSockets As Long
wMaxUDPDG As Long
dwVendorInfo As Long
End Type

Public Declare Function ntohs Lib "WSOCK32.DLL" (ByVal netshort As Long) As Long
'inet_addr将IP地址从 点数格式转换成无符号长整型
Private Declare Function inet_addr Lib "WSOCK32.DLL" (ByVal CP As String) As Long
'inet_ntoa将IP地址从 点数格式转换成ascii
Private Declare Function inet_ntoa Lib "WSOCK32.DLL" (ByVal inn As Long) As Long
Private Declare Function gethostbyaddr Lib "WSOCK32.DLL" (Addr As Long, ByVal addr_len As Long, ByVal addr_type As Long) As Long
Private Declare Function gethostbyname Lib "WSOCK32.DLL" (ByVal host_name As String) As Long
Private Declare Function WSAStartup Lib "WSOCK32.DLL" (ByVal wVersionRequired As Long, lpWSADATA As WSADATA) As Long
Private Declare Function WSACleanup Lib "WSOCK32.DLL" () As Long
'若该函数的返回值非0，则为存储器的地址。由于VB不能直接操作地址，所以还必须调用RtlMoveMemory函数将数据写入地址中
Private Declare Sub RtlMoveMemory Lib "kernel32" (hpvDest As Any, ByVal hpvSource As Long, ByVal cbCopy As Long)
'将数据转换为内存二进制形式字符串
Declare Sub CopyMemory Lib "kernel32" Alias "RtlMoveMemory" (Dest As Any, Src As Any, ByVal cb&)
Declare Function lstrlen Lib "kernel32" (ByVal lpString As Any) As Integer
Private Blocked As Boolean
'定义网络状态
Sub InitStates()
IP_States(0) = "未知"
IP_States(1) = "已经关闭"
IP_States(2) = "监听"
IP_States(3) = "发送同步空闲字符"
IP_States(4) = "接收同步空闲字符"
IP_States(5) = "数据交换中"
IP_States(6) = "结束等待1"
IP_States(7) = "结束等待2"
IP_States(8) = "关闭等待"
IP_States(9) = "关闭中"
IP_States(10) = "命令正确应答"
IP_States(11) = "连接等待"
IP_States(12) = "删除TCP连接"
End Sub

Public Function GetAscIP(ByVal inn As Long) As String
Dim nStr&
Dim lpStr As Long
Dim retString As String
retString = String(32, 0)
lpStr = inet_ntoa(inn)
If lpStr Then
nStr = lstrlen(lpStr)
If nStr > 32 Then nStr = 32
CopyMemory ByVal retString, ByVal lpStr, nStr
retString = Left(retString, nStr)
GetAscIP = retString
Else
GetAscIP = "无法取得IP"
End If
End Function
好了，日志是建立一个LOG文件，所以我们将所需要的函数封装一个类模块里。建立一个public模块。代码如下
'对日志的定义
Public Function Log(RemA As String, RemP As String, LocP As String, Txt As String)

Dim ff As Long
ff = FreeFile
‘打开log文件
Open App.Path & "\log.log" For Append As #ff
‘向log文件写入数据
Write #ff, Time & "-" & Date, RemA, RemP, LocP, Txt
‘将数据在日志窗口中显示出来
Frmlog.lstLog.ListItems.Add , , Time & "-" & Date
Frmlog.lstLog.ListItems(Frmlog.lstLog.ListItems.Count).SubItems(1) = RemA
Frmlog.lstLog.ListItems(Frmlog.lstLog.ListItems.Count).SubItems(2) = RemP
Frmlog.lstLog.ListItems(Frmlog.lstLog.ListItems.Count).SubItems(3) = LocP
Frmlog.lstLog.ListItems(Frmlog.lstLog.ListItems.Count).SubItems(4) = Txt
‘结束日志操作
Close #ff

End Function

好了，封装好了函数以及API数据库，下面是设计界面，以及功能结合了：）
先建立主窗体，这里将名称改为frmMain,我不想抹杀你们的创意，但是为了代码的最后测试成功，请你不要改变：）
点工程——部件，插入microsoft windows common controls 6.0 (sp4)如图1：

前面点上小钩，确定：）
回到桌面，双点击Toolbar，加入后，在上面右键属性。
依次插入按钮，如图2：

索引 标题 样式 图象
1 停止拦截 1-tbrcheck 暂时不说
2 刷新 0- tbrdefault
3 (空) 3-tbrseparator
4 查看日志 0- tbrdefault
插入2个ImageList空间，命名为imgHot和imgCold
依次插入图片，其实就是“停止拦截”等按钮上面显示的图片
在Toolbar上面右键属性如图3：

修改图象列表为imgcold,热图象列表为imghot
好了，在图2，我们看到图象图象后面的数字，着就是imgcold图片列表的数字：）
加入ListView控件
右键——属性——列首
索引 文本 宽度
1 远程IP 自己调节吧：）
2 远程端口
3 本地端口
4 状态
好了，在加入一个timer控件，名称为tmrRefresh，这个是用来刷新网络状态列表的。
将Interval设顶为250
最后完成界面如图：

添加代码如下：
‘定义一些常量
Private lC As Integer
Public Blk As String

Private a_RemA(1000) As String
Private a_LocP(1000) As String
Private a_RemP(1000) As String

Private a_Count As Long
‘下面是刷新网络状态的函数
Public Function RefreshTable(Optional force As Boolean = False)

On Error Resume Next

Dim tcpt As MIB_TCPTABLE, l As Long
Dim x As Integer, i As Integer
Dim RemA As String, LocP As String, RemP As String

l = Len(MIB_TCPTABLE)
GetTcpTable tcpt, l, 0
x = tcpt.dwNumEntries

If x <> lC Or force Then

lC = x

ListView1.ListItems.Clear

For i = 0 To x - 1

RemA = GetAscIP(tcpt.table(i).dwRemoteAddr)
RemP = ntohs(tcpt.table(i).dwRemotePort)
LocP = ntohs(tcpt.table(i).dwLocalPort)
ListView1.ListItems.Add , "x" & i, RemA
ListView1.ListItems(ListView1.ListItems.Count).SubItems(1) = RemP
ListView1.ListItems(ListView1.ListItems.Count).SubItems(2) = LocP
ListView1.ListItems(ListView1.ListItems.Count).SubItems(3) = modNetstat.IP_States(state)





Next i

End If

End Function

Private Sub Form_Load()
‘调用网络状态函数
modNetstat.InitStates
‘一开始就刷新网络状态列表
RefreshTable
End Sub

Private Sub ListView1_MouseUp(Button As Integer, Shift As Integer, x As Single, y As Single)
‘判断是否为鼠标右键按下
If Button = 2 And ListView1.ListItems.Count > 0 Then
‘调用控制按钮，在下面将说到
frmMain.PopupMenu frmMenu.mnuConn
End If
End Sub

Private Sub tmrRefresh_Timer()
‘定时刷新网络状态列表
RefreshTable
End Sub

Public Sub Toolbar1_ButtonClick(ByVal Button As MSComctlLib.Button)
Select Case Button.Index

Case 1
‘停止功能按钮
If Button.Caption = "停止" Then

Button.Caption = "继续"
Button.ToolTipText = "继续开始工作"
tmrRefresh.Enabled = False
‘停止刷新网络状态列表，先面反之
Else

Button.Caption = "停止"
Button.ToolTipText = "停止工作"
tmrRefresh.Enabled = True

End If

Case 2
‘刷新按钮功能
RefreshTable

Case 4
‘显示日志
Frmlog.Show

End Select

End Sub
好了，下面定义控制按钮：）也就是网络状态上右键显示的拦截连接
新建一个窗体，命名为frmMenu，只需要有一个菜单，如图：

修改菜单属性：
标题 名称
mnuConn mnuConn
拦截连接 mnuDis
如图：

好了，添加代码如下：

Private Sub mnuDis_Click()

Dim tcpt As MIB_TCPTABLE
Dim l As Long
Dim i As Long
Dim RemA As String, RemP As String, LocP As String

i = Right(frmMain.ListView1.SelectedItem.Key, Len(frmMain.ListView1.SelectedItem.Key) - 1) + 1

RemA = frmMain.ListView1.ListItems(i)
RemP = frmMain.ListView1.ListItems(i).SubItems(1)
LocP = frmMain.ListView1.ListItems(i).SubItems(2)

l = Len(MIB_TCPTABLE)
GetTcpTable tcpt, l, 0

tcpt.table(i - 1).dwState = 12
‘断开TCP连接，还记得一开始说的函数吗？
SetTcpEntry tcpt.table(i - 1)
DoEvents
‘写入日志
Log RemA, RemP, LocP, "拦截连接"
End Sub
好了，最后是一个日志操作窗体，建立一个名称为Frmlog的窗体
一个用一个listview和command控件，调整位置如图

listview属性
名称 lstLog
列首索引 文本 大小自己调节
1 时间
2 IP
3 远程端口
4 本地端口
5 说明
添加代码如下
Private Sub Command1_Click()
Dim r As String

r = MsgBox("防火墙日志是有效检查黑客入侵的手段！" & vbCrLf & vbCrLf & "清楚日志?", vbQuestion & vbYesNo, "注意！")
‘如果按的是“是”那么
If r = vbYes Then

Dim ff As Long
ff = FreeFile
‘打开日志写入空数据，也就是清空日志
Open App.Path & "\log.log" For Output As #ff

Close #ff
‘清空列表
lstLog.ListItems.Clear

End If
End Sub
程序运行后，成功拦截我以前开发的一个盗取拨号密码的木马，如图：
第一次获得密码是没拦截，拦截后提示无法连接

好了，我们完成了对防火墙的简单操作，文章还有很大改进余地，大家可以发挥自己的思维去改变，去完善。
Read More...

汇编"免杀"基础知识

一.机械码,又称机器码.
ultraedit打开,编辑exe文件时你会看到
许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码
就是机器码.
修改程序时必须通过修改机器码来修改exe文件.

二.需要熟练掌握的全部汇编知识(只有这么多)
不大容易理解,可先强行背住,混个脸儿熟,以后慢慢的就理解了
cmp a,b 比较a与b
mov a,b 把b的值送给a
ret 返回主程序
nop 无作用,英文“no operation”的简写，意思是“do nothing”(机器码90)***机器码的含义参看上面
(解释:ultraedit打开编辑exe文件时你看到90,等同于汇编语句nop)
call 调用子程序
je 或jz 若相等则跳(机器码74 或0F84)
jne或jnz 若不相等则跳(机器码75或0F85)
jmp 无条件跳(机器码EB)
jb 若小于则跳
ja 若大于则跳
jg 若大于则跳
jge 若大于等于则跳
jl 若小于则跳
jle 若小于等于则跳
pop 出栈
push 压栈

三.常见修改(机器码)
74=>75 74=>90 74=>EB
75=>74 75=>90 75=>EB

jnz->nop
75->90(相应的机器码修改)

jnz -> jmp
75 -> EB(相应的机器码修改)

jnz -> jz
75->74 (正常) 0F 85 -> 0F 84(特殊情况下,有时,相应的机器码修改)

四.两种不同情况的不同修改方法
1.修改为jmp
je(jne,jz,jnz) =>jmp相应的机器码EB （出错信息向上找到的第一个跳转）jmp的作用是绝对跳，无条件跳，从而跳过下面的出错信息

xxxxxxxxxxxx 出错信息，例如：注册码不对，sorry,未注册版不能...，"Function Not Avaible in Demo" 或 "Command Not Avaible" 或 "Can't save in Shareware/Demo"等 （我们希望把它跳过，不让它出现）
。。。
。。。
xxxxxxxxxxxx 正确路线所在

2.修改为nop
je(jne,jz,jnz) =>nop相应的机器码90 （正确信息向上找到的第一个跳转） nop的作用是抹掉这个跳转，使这个跳转无效，失去作用，从而使程序顺利来到紧跟其后的正确信息处

xxxxxxxxxxxx 正确信息，例如：注册成功，谢谢您的支持等（我们希望它不被跳过，让它出现，程序一定要顺利来到这里）
。。。
。。。
xxxxxxxxxxxx 出错信息（我们希望不要跳到这里，不让它出现）它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据.
1. 通用数据传送指令.
MOV 传送字或字节.
MOVSX 先符号扩展,再传送.
MOVZX 先零扩展,再传送.
PUSH 把字压入堆栈.
POP 把字弹出堆栈.
PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈.
POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.
PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈.
POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.
BSWAP 交换32位寄存器里字节的顺序
XCHG 交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数)
CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX )
XADD 先交换再累加.( 结果在第一个操作数里 )
XLAT 字节查表转换.
── BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即
0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL )
2. 输入输出端口传送指令.
IN I/O端口输入. ( 语法: IN 累加器, {端口号│DX} )
OUT I/O端口输出. ( 语法: OUT {端口号│DX},累加器 )
输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时,
其范围是 0-65535.
3. 目的地址传送指令.
LEA 装入有效地址.
例: LEA DX,string ;把偏移地址存到DX.
LDS 传送目标指针,把指针内容装入DS.
例: LDS SI,string ;把段地址:偏移地址存到DS:SI.
LES 传送目标指针,把指针内容装入ES.
例: LES DI,string ;把段地址:偏移地址存到ESI.
LFS 传送目标指针,把指针内容装入FS.
例: LFS DI,string ;把段地址:偏移地址存到FSI.
LGS 传送目标指针,把指针内容装入GS.
例: LGS DI,string ;把段地址:偏移地址存到GSI.
LSS 传送目标指针,把指针内容装入SS.
例: LSS DI,string ;把段地址:偏移地址存到SSI.
4. 标志传送指令.
LAHF 标志寄存器传送,把标志装入AH.
SAHF 标志寄存器传送,把AH内容装入标志寄存器.
PUSHF 标志入栈.
POPF 标志出栈.
PUSHD 32位标志入栈.
POPD 32位标志出栈.

二、算术运算指令
───────────────────────────────────────
ADD 加法.
ADC 带进位加法.
INC 加 1.
AAA 加法的ASCII码调整.
DAA 加法的十进制调整.
SUB 减法.
SBB 带借位减法.
DEC 减 1.
NEC 求反(以 0 减之).
CMP 比较.(两操作数作减法,仅修改标志位,不回送结果).
AAS 减法的ASCII码调整.
DAS 减法的十进制调整.
MUL 无符号乘法.
IMUL 整数乘法.
以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算),
AAM 乘法的ASCII码调整.
DIV 无符号除法.
IDIV 整数除法.
以上两条,结果回送:
商回送AL,余数回送AH, (字节运算);
或 商回送AX,余数回送DX, (字运算).
AAD 除法的ASCII码调整.
CBW 字节转换为字. (把AL中字节的符号扩展到AH中去)
CWD 字转换为双字. (把AX中的字的符号扩展到DX中去)
CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去)
CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去)

三、逻辑运算指令
───────────────────────────────────────
AND 与运算.
OR 或运算.
XOR 异或运算.
NOT 取反.
TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果).
SHL 逻辑左移.
SAL 算术左移.(=SHL)
SHR 逻辑右移.
SAR 算术右移.(=SHR)
ROL 循环左移.
ROR 循环右移.
RCL 通过进位的循环左移.
RCR 通过进位的循环右移.
以上八种移位指令,其移位次数可达255次.
移位一次时, 可直接用操作码. 如 SHL AX,1.
移位>1次时, 则由寄存器CL给出移位次数.
如 MOV CL,04
SHL AX,CL

四、串指令
───────────────────────────────────────
DS:SI 源串段寄存器 :源串变址.
ESI 目标串段寄存器:目标串变址.
CX 重复次数计数器.
AL/AX 扫描值.
D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量.
Z标志 用来控制扫描或比较操作的结束.
MOVS 串传送.
( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. )
CMPS 串比较.
( CMPSB 比较字符. CMPSW 比较字. )
SCAS 串扫描.
把AL或AX的内容与目标串作比较,比较结果反映在标志位.
LODS 装入串.
把源串中的元素(字或字节)逐一装入AL或AX中.
( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. )
STOS 保存串.
是LODS的逆过程.
REP 当CX/ECX<>0时重复.
REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX<>0时重复.
REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX<>0时重复.
REPC 当CF=1且CX/ECX<>0时重复.
REPNC 当CF=0且CX/ECX<>0时重复.

五、程序转移指令
───────────────────────────────────────
1>无条件转移指令 (长转移)
JMP 无条件转移指令
CALL 过程调用
RET/RETF过程返回.
2>条件转移指令 (短转移,-128到+127的距离内)
( 当且仅当(SF XOR OF)=1时,OP1
JA/JNBE 不小于或不等于时转移.
JAE/JNB 大于或等于转移.
JB/JNAE 小于转移.
JBE/JNA 小于或等于转移.
以上四条,测试无符号整数运算的结果(标志C和Z).
JG/JNLE 大于转移.
JGE/JNL 大于或等于转移.
JL/JNGE 小于转移.
JLE/JNG 小于或等于转移.
以上四条,测试带符号整数运算的结果(标志S,O和Z).
JE/JZ 等于转移.
JNE/JNZ 不等于时转移.
JC 有进位时转移.
JNC 无进位时转移.
JNO 不溢出时转移.
JNP/JPO 奇偶性为奇数时转移.
JNS 符号位为 "0" 时转移.
JO 溢出转移.
JP/JPE 奇偶性为偶数时转移.
JS 符号位为 "1" 时转移.
3>循环控制指令(短转移)
LOOP CX不为零时循环.
LOOPE/LOOPZ CX不为零且标志Z=1时循环.
LOOPNE/LOOPNZ CX不为零且标志Z=0时循环.
JCXZ CX为零时转移.
JECXZ ECX为零时转移.
4>中断指令
INT 中断指令
INTO 溢出中断
IRET 中断返回
5>处理器控制指令
HLT 处理器暂停, 直到出现中断或复位信号才继续.
WAIT 当芯片引线TEST为高电平时使CPU进入等待状态.
ESC 转换到外处理器.
LOCK 封锁总线.
NOP 空操作.
STC 置进位标志位.
CLC 清进位标志位.
CMC 进位标志取反.
STD 置方向标志位.
CLD 清方向标志位.
STI 置中断允许位.
CLI 清中断允许位.

六、伪指令
───────────────────────────────────────
DW 定义字(2字节).
PROC 定义过程.
ENDP 过程结束.
SEGMENT 定义段.
ASSUME 建立段寄存器寻址.
ENDS 段结束.
END 程序结束.
Read More...

[转贴]修改VC6界面的字体

文章作者：代码罐头 [E.S.T]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

VC6是大家现在仍旧在使用的IDE
但是VC6上允许用户选择的显示字体一共就那么5，6种
整个界面的字体显示就没有VC2002，2003，2005那么漂亮了
通过注册表。我们可以手工修改vc6使用的显示字体，让VC的界面更漂亮
HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format
上面就是VC6界面显示字体的位置
对应各个界面
我们主要修改源代码界面
HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Source Browser
HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Source Window
各添加两个key
FontFace,类型是REG_SZ,内容就是字体名称,我这里使用Tahoma
FontSize,类型REG_DWORD,内容是字体的大小,我这里使用8
下面提供一个已经修改好的注册表：

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format]

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Calls Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Disassembly Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Memory Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Output Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Registers Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Source Browser]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Source Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Variables Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Watch Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

[HKEY_CURRENT_USER\Software\Microsoft\DevStudio\6.0\Format\Workspace Window]
"FontFace"="Tahoma"
"FontSize"=dword:00000008

Read More...