-
-
[旧帖] [求助]OD调试中断在kifastsystemcallret 0.00雪花
-
发表于: 2009-11-23 09:57
-
|
|
|---|---|
|
|
把你的exe传上来看看，
一般用OD打开exe后，ntdll.KiFastSystemCallRet地址保存在edx寄存器里面  |
|
|
我用OD打开程序后的界面如下
|
|
|
 EIP指向KiFastSystemCallRet...看你给的信息，应该是程序出错被系统终止(暂停)进程(ZwTerminateProcess)后调用KiFastSystemCallRet的， 你这是用OD附加进程的吧？一般用OD附加进程后会断在ntdll.DbgBreakPoint上，Alt+F9后EIP就指向KiFastSystemCallRet了，跟你上述情况一样 |
|
|
驱动，OD没法调试；
非PE文件，OD打不开， 那你程序入口点怎么落在内核ntdll里呢，答案只有一个，就是你用OD附加在一个正在运行的进程上，使进程中断在ntdll.DbgBreakPoint，然后Alt+F9就回到ntdll.KiFastSystemCallRet了...  我是这么理解的...
|
|
|
|
|
|
 方便把程序上传来看看吗？难道真是反调试... 你试用IDA静态反汇编看看，看看它的程序入口点在哪
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
  PS：ds：[00000000]=???是不是内存非法访问了，为什么会出现这种情况？ |
|
|
|
|
|
|
|
|
|
|
|
刚才跟踪了发现ebx是在ntdll.RtlCreateHeap函数的xor ebx，ebx中被置为0，之前ebx=77BEF2A1.
RtlCreateHeap函数：  PS：程序还没执行到外壳的入口点… |
|
|
|
|
|
|
|
|
|
|
|
|
