EPEHelper.rar - EncryptPE V2.2007.12.01 脱壳机（源码）
Only For V220071201
支持SDK修复
支持codeReplace修复
作者 sh,2008-09-14 07:58:22,下载40次
ResBorn.rar - ResBorn 是一种高效方便的多语言引擎，它的工作模式如下：
1.导出字符串： 枚举指定PE文件（可以是当前进程的EXE文件）中的所有资源，把其中语言相关的字符串（对话框、菜单、字符表）导出为 LNG 格式的语言字符串列表（UNICODE带BOM的文本文件），用户可以使用任何文本编辑器编辑它。
2. 导入字符串：枚举指定PE文件（可以是当前进程的EXE文件，有自动退出更新机制）中的所有资源，根据1中所述的LNG文件，把特定的字符串更改结果回写到资源中，完成一个多语言版本的重构工作。
其中，步骤一可省略，开发者可以提供原始的语言文件。步骤二仅在切换语言时调用，正常运行时不需要耗费任何的性能损失（根本不用干活），和MUI方式一样。
简而言之，ResBorn 是一个 Win32 PE 资源专用解析引擎！
更进一步地，你可以根本不用考虑多语言引擎，因为 ResBorn 本身提供了一个使用 ResBorn Engine 的工具（名字就叫 ResBorn），可以认为是一个专用资源汉化工具（或者英化？等）。使用 ResBorn 工具，可以INI格式的语言字符列表，修改后回写到EXE/DLL文件中，即可得到一个新语言版本的程序。（理论上针对任何PE有效，不需要在程序中做什么工作，即，对任何第三方程序可用）,2008-09-14 07:52:41,下载71次
WinDelCmosPassword.rar - windows下清除CMOS口令的工具
使用办法:先备份cmos数据,然后清除cmos数据,重新开机就没口令了,这个时候你作你的事情,完了之后再吧cmos数据恢复回去,一切万事大吉......不需要知道他原来的口令是什么,也不改变他的口令,适用于被单位禁止BIOS设置的朋友.
程序原理,利用驱动,直接端口操作,把CMOS的索引118个数据清0,最开始的10个字节是时间,保留,防止修改了时间进入系统需要重新激活.......
测试平台:XP,vista,win2008RC1
1.驱动加载不成功弹出提示
2.操作成功都会直接驱动speaker控制端口,发出单调的123,2008-09-14 07:43:48,下载12次
Armadillo_Importalizer.zip - import analyzer for armadillo,2008-06-21 23:16:28,下载4次
Armadillo_Nanomulator.zip - armadillo 4.20 nanomites core emulator
,2008-06-21 23:15:34,下载12次
KBys_src.rar - 堀北压缩-一个完整的pe文件加壳工具源码,2008-02-13 18:36:15,下载277次
ExcpHookMonitor_0.0.4.zip - ExcpHook is an open source (see license.txt) Exception Monitor for Windows made by Gynvael Coldwind (of Team Vexillium). t uses a ring0 driver to hook KiExceptionDispatch procedure to detect the exceptions, and then shows information about the exception on stdout (using the ring3 part of the program ofc).
The difference between this method, and the standard debug API method it that this method monitores all of XP processes, and the program does not have to attach to any other process to monitor it, hence it s harder to detect.
The code currently is considered as ALPHA, and it has been reported to BSoD sometimes (on multi core/cpu machines). Take Care!
,2008-02-13 18:28:04,下载45次
IDTGuard.rar - IDT Hook 检测及恢复
此程序在 Ring3 下打开物理内存对象取得当前内存中的 IDT，再用打开对应的原始内核文件进行比较。带恢复功能。
此程序适用于 XP/2003。采用特征码搜索方式查找。注释详细，代码规范,2008-02-13 18:23:02,下载204次
SS13-SRC.zip - 监视程序调用的APi函数，附：SoftSnoop.lib，可开发插件,2007-11-07 18:20:38,下载44次
debugsrc.rar - 反调试插件
插件参考了 IsDebugPresent 的 ASM 代码, 用C 实现, 有三个命令.
. 手动 Disable 子进程 DebugPrivlege
2. 手动 Enable 子进程 DebugPrivlege
3. 程序加载和 Restart 时可选择自动 Disable DebugPrivlege,2007-11-02 21:32:14,下载33次
OllyScript1.51.rar - OD脚本插件
作者放出1.51版本的源码,2007-11-02 21:27:23,下载90次
CodeZap.rar - CodeZap 是用来给 PE 文件添加额外代码的 C++ SDK。您可以通过使用熟悉而且容易工程化的 C/C++ 语言来添加大量的可执行代码。
Codez 使用非常简单，你只要模仿 ZCode 函数，写出自己的 ZCode 即可。其中 ZCode 的要求如下：
1. ZCode 必须是 CDECL 调用规范。
2. ZCode 函数最后的 __asm 块，除 #ifdef _DEBUG 包围的之外，必须保留。
3. ZCode 中不能使用字符串常量。
4. ZCode 中不能调用外部函数。
5. ZCode 中可以调用 __forceinline 声明的函数。
6. ZCode 中可以使用 CodeZap 中所有 Z 开头的函数。
7. ZCode 中的 C++ 代码可以任意添加，只要符合前面的所有条件。
8. 可以修改 #ifdef _DEBUG 中的汇编代码为你所所要情形。
9. 可以修改函数的参数（基于上一条为前提）。
CodeZap 调用示例：
CodeZap(TEXT("C:\\ABC.CZ.exe"), TEXT("C:\\ABC.exe"), (PBYTE) ZCode)
Powered By Yonsm,2007-11-02 18:15:30,下载36次
filemon.rar - 纯汇编写的,主要拦截KERNEL32.DLL中的OpenFile、CreateFileA、CreateFileW、ReadFile、 ReadFileEx、WriteFile、WriteFileEx、DeviceIoControl等函数，HOOK到的数据未做过滤处理。
其中MYDLL利用了skyer的HOOKAPI LIB,放出源码,主程序的过程是创建进程后挂起,注入MYDLL后恢复进程,拦截过程中的相关函数,2007-11-02 18:12:00,下载168次
PPStream.rar - PPStream 最新版堆栈溢出利用
// 昨天无聊，搞了一下 PPStream。发现其有很多的编码问题。
// 其中好多接口方法都没有严格检查参数，堆溢出和栈溢出都有, 。
// PowerList.ocx, PowerPlayer.dll 都有此类问题, 这里利用的是 PowerPlayer.dll 中的栈溢出。
// 只用于交流学习用，不要用于xx, 否则后果自负。,2007-11-02 18:06:00,下载4次
hookntcontinue.rar - ring0--hook NtContinue+source_code
ring0下面hookNtContinue 使用drx7寄存器实现的hook
this code hooks ntoskrnl!NtContinue to set dr7 to 0 (no updating of dr7)
so NtContinue called from ring3 cannot alter drX registers...
This hook will only PREVENT drX clearing from SEH (kiuser->ntcontinue)
and will not alter debugging using ring3 debuggers (olly->SetThreadContext)
mainly developed for personal reasearch and as anti-bpm...
Hook NtContinue (not exported from ntoskrnl.exe but exported in ntdll.dll with service number) to set dr7 to 0 prior to calling original NtContinue so debug registers won t be changed from seh and ring3 code =)
Its use for some targets such as armadillo... but never posted code...
by deroko,2007-11-02 18:00:09,下载41次
HookExplorerSrc.rar - Hook Explorer SourceCode
支持查找系统内的全局钩子
VB完整源代码
VB编写的反hook代码比较少见 这个是难得的一个精品,2007-11-02 17:57:02,下载166次
driver.rar - 用DDDK编写驱动,修改SSDT表HOOK NTDebugActiveProcess函数
钩子函数中可以判断PID号,决定是否放行,放行则在钩子函数中调用原来的NTDebugActiveProcess函数.否则直接返回False.HOOK成功后所有调用DebugActiveProcess的程序将会失效.当然可以按照你的需要HOOK更多的系统服务函数.同一服务函数的服务号在每个操作系统版本中是不同的.下面附件中编译完成的驱动请在WinXP SP2的环境下测试.否则可能会导致直接重启,2007-11-02 17:54:26,下载115次
Recub.rar - Recub这是一款Windows平台下的远程控制工具 使用activex启动技术 英文介绍
RECUB Features.
1 RC4 Encripted Reverce connect Shell for XP,2k,2003.
2 Bypass Firewalls by starting new instance of Internet explorer and injecting code
3 Activate throw Encrypted ICMP request
5 No listning ports
6 No Process visible,injects into Explorer.exe on startup and exiting
6 Activex startup
7 Empty All Event Logs After exiting the shell.
8 We can use Netcat also for remote shell.
9 EXE size only 5.39 KB
Install
Copy to any folder like windows of system32 and run once
Uninstall
Just delete the exe file
and this key at
HKEY_LOCAL_MACHINE\Software\\Microsoft\\Active Setup\\Installed Components\\{H9I12RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
HKEY_CURRENT_USER\Software\\Microsoft\\Active Setup\\Installed Components\\{H9I12RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK},2007-11-02 17:50:16,下载155次
LineageII.rar - LineageII藏经阁天堂2杀手木马源代码,2007-11-02 17:47:48,下载15次