[求助]程序被OD载入之前执行了什么-经典问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (14)
zhouliyi 雪币： 37 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	zhouliyi 2 楼路过，期望高手现身 2009-12-30 09:09 0
lijingli 雪币： 235 活跃值： (10) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 91 粉丝 0 关注私信	lijingli 3 楼搜搜论坛的 TLS 2009-12-30 09:17 0
liuyq 雪币： 285 活跃值： (16) 能力值： ( LV3，RANK：20 ) 在线值：发帖 24 回帖 1199 粉丝 0 关注私信	liuyq 4 楼 1、导出库上做手脚，本来导出库为空，但数量上设置为1 2、线程本地存储上做手脚，它是程序开始运行前的几个预先运行的函数 2009-12-30 09:17 0
liuyq 雪币： 285 活跃值： (16) 能力值： ( LV3，RANK：20 ) 在线值：发帖 24 回帖 1199 粉丝 0 关注私信	liuyq 5 楼麻烦楼主记得给我加分 2009-12-30 17:40 0
blueapplez 雪币： 458 活跃值： (421) 能力值： ( LV9，RANK：610 ) 在线值：发帖 90 回帖 1047 粉丝 6 关注私信	blueapplez 14 6 楼能给个例子么？ 2009-12-30 17:56 0
paulysb 雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 11 粉丝 0 关注私信	paulysb 7 楼路过学习学习 2009-12-30 19:07 0
北国苍鹰雪币： 105 活跃值： (10) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 96 粉丝 0 关注私信	北国苍鹰 8 楼路过，学习中。。。。 2009-12-31 09:27 0
tangjiutao 雪币： 126 活跃值： (37) 能力值： ( LV2，RANK：140 ) 在线值：发帖 34 回帖 108 粉丝 2 关注私信	tangjiutao 3 9 楼关注中... 2009-12-31 14:45 0
烁皓雪币： 270 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 155 粉丝 0 关注私信	烁皓 10 楼一般od载入时默认断在winmain上，但程序的TLS是在程序入口点之前执行的，这里面可以做检测。另外od自身也有bug，像Themida等壳会针对OllyDBG v1.10原版处理浮点的一个BUG，使OD崩溃，OD目录下有个dbghelp.dll，这个文件也存在一个溢出漏洞。 2009-12-31 14:56 0
光彩夺目雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	光彩夺目 11 楼能讲的让我知道如何写壳最好 2009-12-31 18:28 0
yaojiank 雪币： 555 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 78 粉丝 0 关注私信	yaojiank 12 楼关注mark 2009-12-31 18:32 0
怀特迈恩雪币： 444 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 242 粉丝 0 关注私信	怀特迈恩 13 楼晕，大家没看《加密与解密第三版》吗。第十章专门有一节讲了TLS本地回调函数。如果我写壳实现楼主所说的功能，那么我肯定运用TLS技术。没写过，身边没有书，只有一点了解，简单说下：就是PE文件头中的映像文件头中数据目录项有个TLS表，前4个字节是RVA，后面4个字节是大小（好像都是固定的18h大小）。让该TLS的RVA指向你的回调函数首地址的RVA。你的回调地址函数首地址向下执行下去就是你写的Anti_Debug功能函数（这个系列函数应该写在明文的壳代码中）。 2009-12-31 20:46 0
beisika 雪币： 241 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	beisika 14 楼关注mark 2010-1-1 14:10 0
cooooldog 雪币： 198 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 57 粉丝 0 关注私信	cooooldog 15 楼不懂. 纯属学习 2010-10-31 13:05 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (14)
zhouliyi 雪币： 37 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	zhouliyi 2 楼路过，期望高手现身 2009-12-30 09:09 0
lijingli 雪币： 235 活跃值： (10) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 91 粉丝 0 关注私信	lijingli 3 楼搜搜论坛的 TLS 2009-12-30 09:17 0
liuyq 雪币： 285 活跃值： (16) 能力值： ( LV3，RANK：20 ) 在线值：发帖 24 回帖 1199 粉丝 0 关注私信	liuyq 4 楼 1、导出库上做手脚，本来导出库为空，但数量上设置为1 2、线程本地存储上做手脚，它是程序开始运行前的几个预先运行的函数 2009-12-30 09:17 0
liuyq 雪币： 285 活跃值： (16) 能力值： ( LV3，RANK：20 ) 在线值：发帖 24 回帖 1199 粉丝 0 关注私信	liuyq 5 楼麻烦楼主记得给我加分 2009-12-30 17:40 0
blueapplez 雪币： 458 活跃值： (421) 能力值： ( LV9，RANK：610 ) 在线值：发帖 90 回帖 1047 粉丝 6 关注私信	blueapplez 14 6 楼能给个例子么？ 2009-12-30 17:56 0
paulysb 雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 11 粉丝 0 关注私信	paulysb 7 楼路过学习学习 2009-12-30 19:07 0
北国苍鹰雪币： 105 活跃值： (10) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 96 粉丝 0 关注私信	北国苍鹰 8 楼路过，学习中。。。。 2009-12-31 09:27 0
tangjiutao 雪币： 126 活跃值： (37) 能力值： ( LV2，RANK：140 ) 在线值：发帖 34 回帖 108 粉丝 2 关注私信	tangjiutao 3 9 楼关注中... 2009-12-31 14:45 0
烁皓雪币： 270 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 155 粉丝 0 关注私信	烁皓 10 楼一般od载入时默认断在winmain上，但程序的TLS是在程序入口点之前执行的，这里面可以做检测。另外od自身也有bug，像Themida等壳会针对OllyDBG v1.10原版处理浮点的一个BUG，使OD崩溃，OD目录下有个dbghelp.dll，这个文件也存在一个溢出漏洞。 2009-12-31 14:56 0
光彩夺目雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	光彩夺目 11 楼能讲的让我知道如何写壳最好 2009-12-31 18:28 0
yaojiank 雪币： 555 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 78 粉丝 0 关注私信	yaojiank 12 楼关注mark 2009-12-31 18:32 0
怀特迈恩雪币： 444 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 242 粉丝 0 关注私信	怀特迈恩 13 楼晕，大家没看《加密与解密第三版》吗。第十章专门有一节讲了TLS本地回调函数。如果我写壳实现楼主所说的功能，那么我肯定运用TLS技术。没写过，身边没有书，只有一点了解，简单说下：就是PE文件头中的映像文件头中数据目录项有个TLS表，前4个字节是RVA，后面4个字节是大小（好像都是固定的18h大小）。让该TLS的RVA指向你的回调函数首地址的RVA。你的回调地址函数首地址向下执行下去就是你写的Anti_Debug功能函数（这个系列函数应该写在明文的壳代码中）。 2009-12-31 20:46 0
beisika 雪币： 241 活跃值： (15) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	beisika 14 楼关注mark 2010-1-1 14:10 0
cooooldog 雪币： 198 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 57 粉丝 0 关注私信	cooooldog 15 楼不懂. 纯属学习 2010-10-31 13:05 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复