1.linux下安装tcpdump并用其抓包
2.技术解读 | SO文件的源码安全，就交给这6大核心技术吧！源码
3.TCPDUMP简介
4.RTMP 视频数据封装
5.调试Window操作系统下的源码dump文件
6.mimikatz源码分析-lsadump模块（注册表）

linux下安装tcpdump并用其抓包

       在Linux环境中，为了深入探究网络协议，源码抓包分析数据是源码一种有效手段。尽管Windows用户可以轻松通过Wireshark进行抓包，源码edas sdk源码包但在Linux环境下，源码尤其在空间有限或不支持Wireshark的源码版本中，安装和使用tcpdump成为更好的源码选择。本文将简述如何在Linux下安装tcpdump并进行抓包操作。源码

       首先，源码有两种安装tcpdump的源码方法。一是源码从源代码编译安装，可通过参考csdn博客（blog.csdn.net/tic_yx/article/details/...）获取详细的源码步骤。另一种更为便捷，源码就是在Ubuntu等系统中，通过命令行输入`sudo apt-get install tcpdump`，如果遇到安装问题，可以尝试更换国内的软件源，如清华大学源。

       在使用tcpdump时，常用命令包括实时查看抓包信息，将捕获的数据保存为pcap文件以便后续分析，以及通过过滤指定端口号并保存至文件。这样，即使在Linux上完成抓包，也可以方便地将文件传输到Windows系统，利用Wireshark进行深入分析。

       总的来说，Wireshark提供了强大的抓包和分析功能，但在Linux环境中不便安装时，使用tcpdump进行抓包并导出至Windows进行后续处理，不失为一个实用且灵活的解决方案。

技术解读 | SO文件的android源码approot安全，就交给这6大核心技术吧！

       在移动信息安全领域，SO文件因其较高的安全性而被广泛应用。然而，这也意味着，一旦被黑客获取，其潜在的威胁性也相对更大。为了解决这一问题，爱加密在SO加固方面投入了大量研究，并开发了一系列核心技术。

       首先，爱加密的so VMP技术通过虚拟化保护，实现对SO文件源码的深度隐藏、防篡改和防dump，极大增加了逆向分析的难度。其次，so Linker技术通过加密压缩SO文件代码段、导出表和字符串等关键信息，在函数运行时动态解密，有效防止静态分析，同时通过内存DUMP源码，增加了代码的保护力度。此外，爱加密还提供了多重保护方案，将多种加固技术联合使用，以提高SO文件的安全性。

       在Android SO加固方面，爱加密提供了包括so加壳、源码混淆、源码虚拟化保护、防调用、so Linker和so融合在内的六大核心技术。其中，NTp源码大端so加壳通过自定义加密算法改变so文件编码，使其难以通过ida反编译工具查看导出符号，从而保护其核心代码。同时，源码混淆技术通过解析代码中字符串的位置，并采用加密和动态解密的方式，增加反编译难度，使破解者难以快速定位核心代码。基本块调度和分裂技术则通过将C/C++代码中的基本块进行分发和随机分裂，使控制流更加复杂，进一步增加了破解难度。而so源码虚拟化保护技术通过虚拟化SO文件中的源码，实现数据隐藏、防篡改和防dump，增加了逆向分析的难度。此外，so防调用技术可以支持绑定授权APP的包名或签名文件信息，通过动态校验确保应用的合法性。so Linker技术则通过加密压缩整个SO文件，并在运行时动态解密解压缩，有效防止数据泄露。最后，so融合技术对SO文件进行整体加密压缩，加大了代码反汇编调试的难度。

       爱加密提供的so加固技术拥有五大优势：整体加密压缩保护，使用了函数运行时动态加解密技术，隐藏SO的基地址，使用高强度反调试技术，以及代码由VMP技术保护。这些技术的结合，使SO文件在被DUMP或调试时，其核心代码的安全性得到了极大提升。通过这些先进的python源码日志技术手段，爱加密移动应用安全加固平台为开发者提供了全面的移动应用安全加固方案，确保了加固后的应用具备防逆向分析、防二次打包、防动态调试、防进程注入、防数据篡改等多重安全保护能力。

TCPDUMP简介

       Linux作为网络服务器，特别是作为路由器和网关时，数据的采集和分析是必不可少的。TcpDump是Linux中强大的网络数据采集分析工具之一。

       简单来说，TcpDump就是对网络上的数据包进行截获和包分析的工具。它的强大功能和灵活的截取策略，使其成为高级系统管理员分析网络、排查问题的必备工具。

       顾名思义，TcpDump能够完整截获网络中传送的数据包的“头”，并根据用户定义进行过滤。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句帮助去除无用信息。

       TcpDump具有源代码和接口公开的特性，使其具备极强的可扩展性，对于网络维护和入侵者而言都是有用的工具。它存在于基本的FreeBSD系统中，但需要将网络接口设置为混杂模式，普通用户无法执行，仅具备root权限的用户能直接获取网络信息。因此，nba采集源码系统中的网络分析工具主要对网络上的其他计算机安全构成威胁，而非本机安全。

       基本上，TcpDump的输出格式为：系统时间，来源主机.端口 > 目标主机.端口，数据包参数。通过这种方式，用户可以详细分析网络数据，了解网络流量、发现潜在问题，以及进行安全监控等。

扩展资料

       TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

RTMP 视频数据封装

       RTMP协议，是一个基于TCP的实时消息传输协议，由Adobe Systems公司开发，用于Flash播放器和服务器之间的音频、视频和数据传输。在国内，RTMP广泛应用于直播领域，其默认端口为，与HTTP的默认端口不同。通过阅读Adobe的协议规范并建立与服务器的TCP通信，按照协议格式生成和解析数据，即可使用RTMP进行直播操作，或者使用实现了RTMP协议的开源库来实现这一过程。

       RTMPDump是一个开源工具包，专门用于处理RTMP流媒体。它能独立运行进行RTMP通信，也可以通过FFmpeg接口集成到FFmpeg中使用。RTMPDump的源代码可以从rtmpdump.mplayerhq.hu/d...下载。为了在Android中直接调用RTMPDump进行RTMP通信，需要在JNI层进行交叉编译。RTMPDump的源代码结构包括Makefile和一系列.c源文件。编译过程需要通过CMakeLists.txt进行，将其放入AS中，复制librtmp到src/main/cpp/librtmp，并编写CMakeLists.txt，导入app/CMakeLists.txt。

       RTMP视频流格式与FLV很相似，理解FLV的格式文档可以帮助我们构建RTMP视频数据。RTMP中的数据由FLV的TAG中的数据区组成。在FLV中，第一个字节表示数据类型，如0x表示视频，数据大小为字节，时间戳和流ID分别由后续的字节表示，最后的字节表示数据块的总大小。在AVCVIDEOPACKET中，数据结构与类型决定了后续数据的内容，包括版本、合成时间、SPS与PPS等关键信息。在构建AVC序列头和非AVC序列头时，需要注意数据的类型区分。

       H.码流在网络中传输时以NALU（Network Abstract Layer Unit）的形式进行。NALU是NAL（Network Abstract Layer）单元，是H.编码标准中的一个概念。编码后的H.数据被分割为多个NAL单元，每个单元包含了视频帧的一部分信息。在将数据封装到RTMP包中时，需要去除分隔符，然后将NAL数据加入到RTMPPacket中。完整的封包代码需要将这些步骤结合在一起实现。

       综上所述，理解RTMP协议、RTMPDump的使用以及如何在不同环境下构建RTMP视频数据和封装H.数据是进行实时流媒体传输的关键步骤。正确地使用这些工具和技术，能够有效地实现直播和视频流的传输。

调试Window操作系统下的dump文件

       发布软件时，需编写Release note，并给软件打上版本号，接着编译出相应版本，确保生成的编译文件夹内包含PDB文件，命名如'MyApp_1.0.0'。保留该文件夹，以便后续调试dump文件。生成dump的配置内容如下，复制到文本文件，命名为'dumpRegedit.reg'，双击执行：

       Windows Registry Editor Version 5.

       [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps]

       @=""

       "DumpFolder"=hex(2):,,3a,,5c,,,,,,,,,,,,,,,\

       ,6d,,,,,

       "DumpType"=dword:

       "DumpCount"=dword:a

       运行'MyApp_1.0.0'软件，如遇bug导致crash，将自动生成dump文件。生成方式有两种：从编译服务器checkout出'MyApp_1.0.0'代码到本地，使用VS打开不带堆的dump文件，并设置PDB文件路径，需确保有'MyApp_1.0.0'编译文件夹。无论是Debug版本还是Release版本，都可采用此法调试。若使用C#、C、C++编写APP且dump带堆信息，可跳过设置PDB文件步骤，但定位信息可能与源代码不符，不建议使用。

       若需使用API生成mini dump文件，C++中常见API方法有CreateToolhelpSnapshot、CreateProcess、HeapAlloc等，用于捕获系统信息、创建进程、分配堆内存等，具体使用需结合API文档和代码场景。

mimikatz源码分析-lsadump模块（注册表）

       mimikatz是一款内网渗透中的强大工具，本文将深入分析其lsadump模块中的sam部分，探索如何从注册表获取用户哈希。

       首先，简要了解一下Windows注册表hive文件的结构。hive文件结构类似于PE文件，包括文件头和多个节区，每个节区又有节区头和巢室。其中，巢箱由HBASE_BLOCK表示，巢室由BIN和CELL表示，整体结构被称为“储巢”。通过分析hive文件的结构图，可以更直观地理解其内部组织。

       在解析过程中，需要关注的关键部分包括块的签名（regf）和节区的签名（hbin）。这些签名对于定位和解析注册表中的数据至关重要。

       接下来，深入解析mimikatz的解析流程。在具备sam文件和system文件的情况下，主要分为以下步骤：获取注册表system的句柄、读取计算机名和解密密钥、获取注册表sam的句柄以及读取用户名和用户哈希。若无sam文件和system文件，mimikatz将直接通过官方API读取本地机器的注册表。

       在mimikatz中，会定义几个关键结构体，包括用于标识操作的注册表对象和内容的结构体（PKULL_M_REGISTRY_HANDLE）以及注册表文件句柄结构体（HKULL_M_REGISTRY_HANDLE）。这些结构体包含了文件映射句柄、映射到调用进程地址空间的位置、巢箱的起始位置以及用于查找子键和子键值的键巢室。

       在获取注册表“句柄”后，接下来的任务是获取计算机名和解密密钥。密钥位于HKLM\SYSTEM\ControlSet\Current\Control\LSA，通过查找键值，将其转换为四个字节的密钥数据。利用这个密钥数据，mimikatz能够解析出最终的密钥。

       对于sam文件和system文件的操作，主要涉及文件映射到内存的过程，通过Windows API（CreateFileMapping和MapViewOfFile）实现。这些API使得mimikatz能够在不占用大量系统资源的情况下，方便地处理大文件。

       在获取了注册表系统和sam的句柄后，mimikatz会进一步解析注册表以获取计算机名和密钥。对于密钥的获取，mimikatz通过遍历注册表项，定位到特定的键值，并通过转换宽字符为字节序列，最终组装出密钥数据。

       接着，解析过程继续进行，获取用户名和用户哈希。在解析sam键时，mimikatz首先会获取SID，然后遍历HKLM\SAM\Domains\Account\Users，解析获取用户名及其对应的哈希。解析流程涉及多个步骤，包括定位samKey、获取用户名和用户哈希，以及使用samKey解密哈希数据。

       对于samKey的获取，mimikatz需要解密加密的数据，使用syskey作为解密密钥。解密过程根据加密算法（rc4或aes）有所不同，但在最终阶段，mimikatz会调用系统函数对数据进行解密，从而获取用户哈希。

       在完成用户哈希的解析后，mimikatz还提供了一个额外的功能：获取SupplementalCreds。这个功能可以解析并解密获取对应用户的SupplementalCredentials属性，包括明文密码及哈希值，为用户提供更全面的哈希信息。

       综上所述，mimikatz通过解析注册表，实现了从系统中获取用户哈希的高效功能，为内网渗透提供了强大的工具支持。通过深入理解其解析流程和关键结构体的定义，可以更好地掌握如何利用mimikatz进行深入的安全分析和取证工作。