在drupal框架中，比较经典又离我们最近的莫过于18年的CVE-2018-7600这个漏洞了。但是通过本人阅读和学习过此漏洞分析文章的过程中，发现都是针对于此漏洞点的详细分析。相对于此框架运行流程不是很熟悉的人可能在阅读完后很难理解。
作为阿尔法实验室的一员，本人通过阅读框架相关文档与漏洞分析的相关文章和自己对框架源码的调试，对框架运行的流程有了进一步的了解。
在此把这些分享给大家，本文主要分为两大部分：
第一部分是对drupal框架流程的简介（这里主要针对8.x系列），让我们知道在symfony开源框架基础上的drupal框架是如何利用监听者模式支撑起整个[......]
今天收到客户寄来的一个腾达路由器，发现使用其出现流量异常，怀疑被植入第三方程序，让我们协助分析。让我们一起开始分析之旅。
这台腾达路由器是n301版本，2013年发布的产品。要对路由器进行分析，首先要做的就是提取固件。
拆开机器，发现该路由的flash芯片为2m容量的25Q16。直接使用芯片脚夹，结果各种不顺，可能是接触不良，或者Flash芯片IO电压被拉低拉高，一直无法读取芯片数据。
最终我们使用热风枪将flash 芯片吹下来，再使用芯片底座读取。这种方法最有效，但是得有良好的焊接技术，否则芯片焊不回去，设备就变成砖了，还好技术过关，提取完固件后，[......]
Linux作为服务器和IoT设备使用的主要操作系统,针对它的恶意软件也层出不穷。针对Linux设备的恶意软件（以下称为rootkit）通常需要长期驻留于目标操作系统以达到获利目的，所以如何实现驻留也是Linux rootkit作者的重点考虑内容之一，对此，天融信阿尔法实验室进行了可能的思路探索和分析。
在接下来的说明中，我们统一使用一个名为evil的静态链接ELF文件作为我们要实现驻留的rootkit，所有的驻留尝试均围绕这个程序展开。
在systemd成为主流之前，sysvinit是大多数发[......]
勒索软件是一种新兴的木马程序，可通过加密用户文件，使用户数据无法使用，并以此为条件向用户勒索钱财。随着现代社会对数据的高度依赖，数据平台遭受勒索软件攻击的事件频频出现，且勒索软件类型更加复杂化和多样化。文件加密、密钥传输保护、反追踪、扩散等技术将成为勒索软件这几年的发展方向，同时勒索目标从PC端扩展到移动终端、服务器、工控系统等其他平台。勒索软件的目的更加明确，去除对系统文件加密，只针对用户数据进行加密，并且扩大了加密数据类型范围。为了躲避网络安全设备的监视，勒索软件与C&C服务器的通信更加隐蔽，甚至去除C&C服务器。为躲避现实世界追捕，支付方式逐渐以数字货币[......]
对于安全研究人员来说，调试过程中经常会碰到反调试技术，原因很简单：调试可以窥视程序的运行“秘密”，而程序作者想要通过反调试手段隐藏他们的“秘密”，普通程序需要防止核心代码被调试逆向，恶意代码需要隐藏自己的恶意行为防止被跟踪。就像病毒和杀软的关系一样，为了顺利的逆向分析，有反调试手段就有对应的破解方法-反反调试。
关于各种反调试手段，网络上和各种安全书籍上都有对应的介绍、各种调试工具插件已经集成了反调试功能，但有的只是介绍了反调试方法，并没有对应的破解方式，有的反调试手段已经失效。本文并不是研究新的反调试方法，而是对windows平台的反调试技术进行分类总结，并[......]
2018年5月微软发布了针对Windows操作系统内核组件漏洞（CVE-2018-8210）的补丁，该漏洞影响多个版本的操作系统，成功利用漏洞可使得普通应用程序以内核权限执行任意代码。
笔者在6月对该漏洞进行分析并发布了漏洞分析和漏洞利用文章（地址），文中同时附带了一份提权工具，支持WinXP、Win2003、Win7、Win2008等系统。后有网友回帖表示在Win7 x86系统下该利用工具无效，经调试确认提权工具确实存在部分兼容性问题。本文将针对该问题进行补充说明，解决存在的兼容性问题。
CVE-2018-8120为缓冲区溢出漏洞，可造成内核任意地址写入。 前文[......]
过去的windows系统，漏洞百出，防不胜防，因此第三方杀毒软件几乎是装机必备。随着windows系统的不断更新，其安全防护措施也不断加强，传言Windows自带的windows defender已经可以完全替代第三方杀毒软件的工作，那么是否还需要安装第三方杀毒软件呢？
其实，恶意软件和杀毒软件是一对好兄弟，它们一直互相斗争、互相进步，随着杀软技术的提高，免杀技术也在不断提高。有些恶意程序的关注重点已经不在于“干坏事”了，它们已经把目光放在了“流量”上，毕竟现在是流量为王的时代。各种恶意程序通过广告、捆绑等形式来发展自己，其中的重灾区就是各种网站的下载工具。就连[......]
天融信阿尔法实验室 李喆
有人说php是世界上最好的语言，这可能是对开发人员来说，确实有这方面的特点，因为它开发起来不像其他语言那样麻烦，就比如：弱类型，它不需要像java等语言那样明确定义数据类型。这给开发带来了很大的便利，所有的数据类型都可以用$xx来定义，而不需要int i,string a,fload b等等这样去定义它。这样确实很方便，因为php帮助你判断了数据类型，比如整形int ,你只要$a=1;那这个1就是整形，$a=’abc’那这个abc就会被php判断为字符串类型。但是弱类型方便是方便，但是带来的安全问题也是巨大的，很多的php安全漏洞都是因为它带来的。
本文是[......]
目前进程隐藏技术网上流程的主要是在驱动层进行挂钩，但是由于win7之后，windows操作系统权限管理之类越来越严格，win7之后加载驱动首先需要管理员权限，另外windows加载驱动同时还需要有微软签发的驱动证书，这对于土八路来说基本是一个无解的难题，基本难以弄到正规公司的签证，同时，逆向windows的签证管理系统工作量太大，目前网上也没有签证伪造技术流传。
相对驱动层来说，直接hook的ssdt表或者直接修改内核函数都较为方便，在应用层的话，其原理也是改写功能实现函数，从思路角度说，可以改写taskmgr.exe的txt段，导入表，对dll的[......]
天融信阿尔法实验室 李明政
1 穿透驱动的引出定义和历史
2 穿透驱动的实现原理简介
3 对抗杀软的驱动防御
1.1 穿透驱动的引出定义和历史
最早国内的杀软市场还是瑞星、金山、江民三分天下，借助PC时代红利的爆发。最鼎盛时瑞星一年靠软件能卖7亿元,个人级产品几乎垄断当时的市场。没有金刚钻不揽瓷器活，作为杀毒软件在与病毒木马后门搏斗的过程中打的过对方的保证便是率先加载于系统之中的底层驱动，这些底层驱动中有一个通用的驱动组件叫穿透驱动。
杀毒软件为了达到清理恶意软件的目的也需要对进程文件注册表进程做相对应的强制性的操作。这些对应的强制性的操作一般通过Ring3[......]