popsky's blog

stackplz 使用内存访问断点

Tue, 24 Mar 2026 22:50:03 +0800

./stackplz attach -p $(pidof xxx.xxx.xxx) --brk-lib xxx.so --brk 0x69000:r --stack --regs --getoff

frida脚本启动命令

Tue, 24 Mar 2026 22:46:55 +0800

Spawn 模式：

frida -H 172.35.2.232:43743 -f xxx.xxx.xxx -l f:\Code\frida\FridaHook\Hook.js

Attach 模式：

frida -H 172.35.2.232:43743 -n xxx.xxx.xxx -l f:\Code\frida\FridaHook\Hook.js

小工具Attach 模式：

frida -H 172.35.2.232:14725 -F -l f:\Code\frida\FridaHook\Hook.js

查看ELF文件的信息

Wed, 17 Dec 2025 00:30:21 +0800

readelf -S libloader.so

Frida Java Hook

Tue, 23 Sep 2025 17:58:47 +0800

使用到的工具

frida:

https://github.com/frida/frida

frida函数提示脚本：

在脚本文件夹执行:npm install --save @types/frida-gum

https://npmjs.com/package/@types/frida-gum

jadx-gui

https://github.com/skylot/jadx

演示DEMO

frida_example_demo2.rar

function ke0(){
    Java.perform(function(){
        console.info("第一课=================");
        var System_Clazz = Java.use("java.lang.System");
        System_Clazz.getenv.overload('java.lang.String').implementation = function (str){
            console.info(str);
            var result = this.getenv(str);
            console.info("返回值:",result);
            result = "Imyang";
            console.info("修改返回值为：",result);
            return result;
        }
    })
}

function keInit(){
    Java.perform(function (){
        console.info("首关====================");
        var LoginActivity = Java.use("com.github.lastingyang.androiddemo.Activity.LoginActivity");
        LoginActivity.a.overload('java.lang.String','java.lang.String').implementation = function (str1,str2){ //有方法重载的静态方法
            var result = this.a(str1,str2);
            console.info("参数内容为：",str1,str2);
            result = "123123";//修改返回值直接
            console.info("返回内容为：",result);
            return result;
        }

    })
}

function ke1(){
    Java.perform(function (){
        console.info("第一关====================");
        var FridaActivity1 = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity1");    
        FridaActivity1.a.implementation = function (b){ //没有方法重载的静态方法
            var result = this.a(b);
            result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
            return result;
        }

    })
}

function ke2(){
    Java.perform(function (){
        console.info("第二关====================");
        var FridaActivity2 = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity2");
        //静态方法可以直接执行
        FridaActivity2.setStatic_bool_var();//可以直接执行
        console.info("静态方法执行成功！");  
        // 以下注释代码执行报错
        // FridaActivity2.setBool_var();
        // console.info("非静态方法执行成功！");   
       
        //非静态方法，需要通过Java.choose 方法遍历符合条件的实例类，并且进行操作，这对于那些无法直接获取到实例引用的场景非常有用。
        Java.choose("com.github.lastingyang.androiddemo.Activity.FridaActivity2",{
            onMatch : function(instance){ //对每个匹配的实例进行处理
                console.info("遍历到类!");
                instance.setBool_var();
            },
            onComplete : function(){ //在遍历结束后执行一些清理操作。
                console.info("执行完清空!");
            }
        });

    })
}

function ke3(){
    Java.perform(function (){
        console.info("第三关====================");
        var FridaActivity3 = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity3");
        //先调用非静态方法进行打印
        Java.choose("com.github.lastingyang.androiddemo.Activity.FridaActivity3",{
            onMatch : function (instance){
                console.info("bool_var:",instance.bool_var.value);
                //注释掉的部分直接这样写不行，因为same_name_bool_var除了是变量名以外，还有一个相同名字的方法名，所以，要写成_same_name_bool_var
                //console.info("same_name_bool_var:",instance.same_name_bool_var.value);
                console.info("same_name_bool_var:",instance._same_name_bool_var.value);
                console.info("static_bool_var:",instance.static_bool_var.value);
   
                //修改静态变量
                instance.bool_var.value = true;
                //instance.same_name_bool_var.value = true;
                instance._same_name_bool_var.value = true;
                FridaActivity3.static_bool_var.value = true;
   
                console.info("bool_var:",instance.bool_var.value);
                //console.info("same_name_bool_var:",instance.same_name_bool_var.value); 
                console.info("same_name_bool_var:",instance._same_name_bool_var.value);
                console.info("static_bool_var:",instance.static_bool_var.value);          
            },
            onComplete : function (){
   
            }
        });
    })
}

function ke4(){
    Java.perform(function (){
        console.info("第四关====================");
        var FridaActivity4$InnerClasses = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity4$InnerClasses");
        FridaActivity4$InnerClasses.check1.implementation = function (){
            return true;
        }
        FridaActivity4$InnerClasses.check2.implementation = function (){
            return true;
        }
        FridaActivity4$InnerClasses.check3.implementation = function (){
            return true;
        }
        FridaActivity4$InnerClasses.check4.implementation = function (){
            return true;
        }
        FridaActivity4$InnerClasses.check5.implementation = function (){
            return true;
        }
        FridaActivity4$InnerClasses.check6.implementation = function (){
            return true;
        }
        console.info("第四关执行完毕！");
    })
}


function ke5(){
    //核心代码
    // public void onCheck(){
    //     if (this.getDynamicDexCheck() != null) {
    //        if (this.getDynamicDexCheck().check()) {
    //           this.CheckSuccess();
    //           this.startActivity(new Intent(this, FridaActivity6.class));
    //           this.finishActivity(0);
    //        }else {
    //           super.CheckFailed();
    //        }
    //     }else {
    //        Toast.makeText(this, "onClick loaddex Failed!", 1).show();
    //     }
    //     return;
    //  }
    Java.perform(function (){
        console.info("第五关====================");
        var getDynamicDexCheckNotNull = false;
        //首先需要判断getDynamicDexCheck是否为null
        Java.choose("com.github.lastingyang.androiddemo.Activity.FridaActivity5",{
            onMatch : function (instance){
                var Object_this = instance.getDynamicDexCheck();
                if (Object_this != null){
                    getDynamicDexCheckNotNull = true;
                }
            },
            onComplete : function (){

            }          
        });
        if (getDynamicDexCheckNotNull) { //如果不为空
            console.info("getDynamicDexCheck不为空！");
            //2.this.getDynamicDexCheck().check() 查看这个方法的返回，发现check是接口：public interface abstract CheckInterface，
            //check的实现方法是在assets/DynamicPlugin.dex中，解压出来并且用工具打开反编译
           
            //遍历classLoader
            Java.enumerateClassLoaders({
                onMatch : function (loader){
                    try{
                        if (loader.findClass("com.example.androiddemo.Dynamic.DynamicCheck")){
                            console.info("已经找到了classloader");
                            Java.classFactory.loader = loader; //切换这个loader
                            console.info(loader);
                        }
                    }catch(error){

                    }
                },
                onComplete : function (){

                }
            });
            var DynamicCheck = Java.use("com.example.androiddemo.Dynamic.DynamicCheck");
            //HOOK 不区分静态方法和非静态方法
            DynamicCheck.check.implementation = function (){
                var result = this.check();
                console.info("原始返回:",result);
                result = true;
                console.info("修改后返回:",result);
                return result;
            }

        }
    })
}

function ke6(){
    Java.perform(function (){
        console.info("第六关====================");
        var Frida6Class0 = Java.use("com.github.lastingyang.androiddemo.Activity.Frida6.Frida6Class0");
        var Frida6Class1 = Java.use("com.github.lastingyang.androiddemo.Activity.Frida6.Frida6Class1");
        var Frida6Class2 = Java.use("com.github.lastingyang.androiddemo.Activity.Frida6.Frida6Class2");
        Frida6Class0.check.implementation = function (){
            return true;
        }
        Frida6Class1.check.implementation = function (){
            return true;
        }
        Frida6Class2.check.implementation = function (){
            return true;
        }
    })
}

function ke7(){
    console.info("第七关====================");
    Java.perform(function(){
        //首先在点击onCheck时候触发，也就是HOOK掉这个方法
        var FridaActivity7 = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity7");
        FridaActivity7.$init.implementation = function (){
            this.$init();
            this.next.value = true;
            console.info("执行了构造方法！");
        }
    })
}

function ke8(){
    Java.perform(function (){
        //首先获取到局部变量的值
        var password = null;
        Java.choose("com.github.lastingyang.androiddemo.Activity.FridaActivity8",{
            onMatch : function (instance){
                password =instance.password.value;
                console.info("password:",password);
            },
            onComplete : function (){
            }          
        });
        if (password != null){
            var FridaActivity8 = Java.use("com.github.lastingyang.androiddemo.Activity.FridaActivity8");
            FridaActivity8.a.implementation = function (str){
                return password;
            }
        }
       
    })
}
function main(){
    ke0();
    keInit();
    ke1();
    ke2();
    ke3();
    ke4();
    ke5();
    ke6();
    ke7();
    ke8();
}

setImmediate(main);

TNetHTTPClient组件使用SOCKS5代理

Tue, 09 Sep 2025 17:00:29 +0800

NetHTTPClient1.ProxySettings := TProxySettings.Create(string('192.168.110.8'),StrToInt(string('9000')));

NetHTTPClient1.ProxySettings := TProxySettings.Create(string('192.168.110.8'),StrToInt(string('9000')),'username','password');

关于带壳Xposed HOOK

Tue, 06 May 2025 17:12:17 +0800

首先通过搜索“attachBaseContext”，找到调用该方法的地方，然后获取ClassLoader：

            XposedHelpers.findAndHookMethod("com.Proxy.ShellApplication", // 壳入口类（需适配不同加固厂商）
                    loadPackageParam.classLoader, "attachBaseContext", Context.class,
                    new XC_MethodHook() {
                        @Override
                        protected void afterHookedMethod(MethodHookParam param) {
                            ClassLoader shellClassLoader = ((Context) param.args[0]).getClassLoader();
                            // 后续HOOK需使用此ClassLoader

                            Class<?> clazz_EncryptManager = XposedHelpers.findClass("com.xxx.xxx.xxx",shellClassLoader);
                            //HOOK Rsa加密
                            XposedHelpers.findAndHookMethod(clazz_EncryptManager, "rsaEncrypt", String.class, String.class, new XC_MethodHook() {
                                @Override
                                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                                    MyLog.log("===========================RSA_Enc:");
                                    MyLog.log("===Message:");
                                    MyLog.log((String)param.args[0]);
                                    MyLog.log("===Key:");
                                    MyLog.log((String)param.args[1]);
                                    MyLog.log("===Result:");
                                    MyLog.log((String)param.getResult());
                                    MyLog.log("=================================");

                                }
                            });
                            //HOOK AES加密
                            XposedHelpers.findAndHookMethod(clazz_EncryptManager, "aesEncrypt", String.class, String.class, new XC_MethodHook() {
                                @Override
                                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                                    MyLog.log("===========================AES_Enc:");
                                    MyLog.log("===Message:");
                                    MyLog.log((String)param.args[0]);
                                    MyLog.log("===Key:");
                                    MyLog.log((String)param.args[1]);
                                    MyLog.log("===Result:");
                                    MyLog.log((String)param.getResult());
                                    MyLog.log("=================================");
                                }
                            });

                        }
                    });
}

Windows远程连接桌面报错“由于没有远程桌面授权服务器可以提供许可证，远程会话连接已断开。请跟服务器管理员联系

Fri, 24 Jan 2025 17:45:48 +0800

摘要

windows server配置了多用户登录，默认自动生成的连接许可证有效日期为120天，超过了这个时间后，用户将不能远程连接服务器。
需要配置多用户服务器，进行获取许可

问题

解决方法

1、win键+R打开运行器，使用mstsc -admin命令强制远程

2、输入远程服务器ip、用户名（用administer）和密码，忽略证书问题的提示框

3、在远程桌面中，打开远程服务器的运行框，使用regedit命令打开注册表

进入计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\RCM\GracePeriod

4、删除注册表，删除后重启服务器

重启服务器系统，然后测试，即可发现远程登录服务器可以使用

Fiddler断点修改提交和返回内容

Sat, 07 Dec 2024 14:31:37 +0800

影响范围：仅影响指定URL操作时，会被fiddler拦截

使用该方法，首先我们需要明确知道，我们需要构造断点的请求URL。然后在fiddler下方的命令行中，输入：bpu+空格+URL，然后回车，当我们操作该接口对应的功能，被fiddler抓包识别时，对应的操作在界面中就会显示为加载中，此时，我们可以在fiddler工具中，修改该接口对应的请求或返回的数据内容，伪造请求数据或返回结果。

构造断点：输入bpu+空格+URL，回车
取消断点：输入bpu，回车

URL成功被拦截时，在fiddler中的显示如下图：

三个阶段：

直接修改Request请求头和Body内容
Break on Respo：表示在接口返回结果前断点拦截,修改Response响应头和返回结果
Run to Comple：接口完成并返回修改后的内容

点击Break on Respo,然后在TextView或Raw修改返回值,然后点Run to Comple

Linux下做端口转发

Thu, 05 Dec 2024 21:55:58 +0800

iptables是 Linux 上用于配置防火墙的工具。它允许你根据指定的规则对进出网络数据包进行控制。

首先，确保你已经安装了 iptables：

sudo apt update

sudo apt install iptables

sudo iptables -t nat -A PREROUTING -p tcp --dport 2200 -j DNAT --to-destination 255.255.255.255:22 //本地的2200端口转发远程服务器的22端口

sudo iptables -A FORWARD -p tcp -d 255.255.255.255 --dport 22 -j ACCEPT

sudo iptables -t nat -A POSTROUTING -j MASQUERADE

sudo sysctl net.ipv4.ip_forward=1

Delphi 随机指定长度字节

Mon, 25 Nov 2024 21:53:30 +0800

unit Unit1;

interface

uses
  Windows, Winapi.Messages, System.SysUtils, System.Variants, System.Classes, Vcl.Graphics,
  Vcl.Controls, Vcl.Forms, Vcl.Dialogs, Vcl.StdCtrls;

const
  PROV_RSA_FULL = 1;
  CRYPT_VERIFYCONTEXT = $F0000000;

type
  TForm1 = class(TForm)
    Button1: TButton;
    procedure Button1Click(Sender: TObject);
  private
    { Private declarations }
  public
    { Public declarations }
  end;
  HCRYPTPROV = ULONG_PTR;
  PHCRYPTPROV = ^HCRYPTPROV;

  // 导入外部函数
function CryptAcquireContext(phProv: PHCRYPTPROV; pszContainer: PChar;
  pszProvider: PChar; dwProvType: DWORD; dwFlags: DWORD): BOOL; stdcall;
  external 'advapi32.dll' name 'CryptAcquireContextA';

function CryptGenRandom(hProv: HCRYPTPROV; dwLen: DWORD; pbBuffer: Pointer): BOOL; stdcall;
  external 'advapi32.dll' name 'CryptGenRandom';

function CryptReleaseContext(hProv: HCRYPTPROV; dwFlags: DWORD): BOOL; stdcall;
  external 'advapi32.dll' name 'CryptReleaseContext';




var
  Form1: TForm1;

implementation

{$R *.dfm}

function GenerateRandomBytes(NumBytes: Integer): TBytes;
var
  hProv: HCRYPTPROV;
  Buffer: TBytes;
begin
  SetLength(Buffer, NumBytes);

  // 获取加密上下文
  if not CryptAcquireContext(@hProv, nil, nil, PROV_RSA_FULL, CRYPT_VERIFYCONTEXT) then
    raise Exception.Create('CryptAcquireContext failed with error: ' + IntToStr(GetLastError));

  try
    // 生成加密安全的随机字节
    if not CryptGenRandom(hProv, NumBytes, @Buffer[0]) then
      raise Exception.Create('CryptGenRandom failed with error: ' + IntToStr(GetLastError));
  finally
    // 释放加密上下文
    CryptReleaseContext(hProv, 0);
  end;

  Result := Buffer;
end;

procedure TForm1.Button1Click(Sender: TObject);
var
  RandomBytes: TBytes;
begin
  RandomBytes:=GenerateRandomBytes(64);
end;

end.

非伪随机.