最近做了一些forensic的调查，随便写一下，随时补充。
在驱除病毒时，往往仅删除了病毒的注册表文件还不够，需要重启电脑。或者使用命令行删除计划任务或者服务：
sc delete ServiceNameschtasks /delete /tn TaskName电脑是Mac的，但是安卓模拟器基本都只运行在Windows上，所以我在Mac上安装了Windows虚拟机。但是在虚拟机里使用adb连接模拟器很麻烦，我需要从宿主机Mac上通过adb连接模拟器。
最近发现osxpmem在我的mac上会时不时panic，于是对panic日志进行了分析，提了一个pull request: https://github.com/google/rekall/pull/486。下面介绍我是如何分析这个panic日志的。kext部分的分析可以直接参考这个pull request的comment。
最近好好学习了一下OAUTH2.0，发现OAUTH2.0有很多认证方式，code flow和impicit flow大家都已经很熟悉了，我来总结一下使用pkce的code flow。
顺便，这个链接可以用来参考你该使用哪种flow：
https://auth0.com/docs/api-auth/which-oauth-flow-to-use
最近看了一下python的VM实现，就一直在思考，为何C语言会出现StackOverFlow的漏洞而高级语言本质上不会？
Continue reading
工作上经常需要要mitm Android的通信（就是用burp什么的），需要在安卓上安装burp的证书。但是你会发现安卓7.0之后有了network-security-config这个选项，可以让app只信任系统证书，这样的话即使你安装了用户证书也无法进行mitm。
我以前一直在疑惑，iOS号称对用户数据进行了加密，如果不解锁屏幕就无法看到用户数据。但是实际上，在越狱机器上，如果用ssh进入iPhone，即使不解锁屏幕，也是可以看到用户数据的，这是怎么回事？难道说越狱时disable了一些iOS的安全功能？
其实读了一下J神的*OS Internals III第十一章就知道了，因为只是有一部分数据是加密的，且加密分成不同的等级，有的是解锁第一次后就一直是明文状态，有的是只有每次解锁后才是明文状态。所以这就是我产生的“iOS没有对数据加密”的错觉的来源。举一个例子，/private/var/mobile/Library/Mail/Protected Index就是被加密的，如果你没有打开MobileMail.app的话，在ssh下读这个文件会发生Operation not permitted错误。
最近我在想，如果能对iOS内核进行patch或者写一个kext，那岂不是能完全隐藏机器对越狱情况？于是我对iOS10和iOS11的越狱工具、也就是yalu和electra进行了一点分析，看看它们是如何对内核进行patch的。
在debug iOS App的时候，我发现什么StoreKit、UIKit之类的库在iOS设备上怎么也找不到，于是想探索一下这些库到底存储在了哪里。其实本文与iOS kernel并无太大关系。
略
用以下Android.mk和main.c编译即可。编译出的libmain.so既可以当作动态库来链接，也可当作可执行文件执行。需要注意的是，如果是使用cpp后缀，__attribute__((section(".interp")))将不起作用。包含__attribute__((section(".interp")))的源码只能使用.c后缀
//Android.mk
LOCAL_PATH := $(call my-dir)
include $(CLEAR_VARS)
LOCAL_MODULE := main
LOCAL_CFLAGS += -fPIC -pie
LOCAL_LDFLAGS += -Wl,-e,entry -llog
LOCAL_MODULE := main
LOCAL_SRC_FILES := main.c
include $(BUILD_SHARED_LIBRARY)