首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]关于反调试 0.00雪花
发表于: 2010-5-26 07:01 3679

[旧帖] [求助]关于反调试 0.00雪花

qinglianzi 活跃值
2010-5-26 07:01
3679
一个Delphii写的小程序，OD载入后，修改了跳转，保存后，双击没有任何反应，比对两个文件大小，发现是一样大，请问对于这种自校验，下什么断点？

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (5)
kwzlj
雪    币： 276
活跃值： (34)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
很多啊，比如Md5校验， CRC校验，或读取某区段内存校验...慢慢跟，或在退出函数下断。
2010-5-26 08:12
0
ANight
雪    币： 235
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
现在只能猜测程序是在效验，但具体的情况还无法判断 还要仔细分析一下才知道 就简简单单的一说 一般都不能给出你明确答案的
2010-5-26 09:34
0
bithaha
雪    币： 1505
能力值： (RANK：210 )
在线值：
发帖
回帖
粉丝
私信
4 楼
下内存断点
或者硬件断点也可以.

这两种断点也都是能够被检测和去除的,不过一般应该没问题.
2010-5-26 09:40
0
tangjiutao
雪    币： 126
活跃值： (37)
能力值： ( LV2，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
5 楼
你只是修改了一个字节，其大小当然是不会变的，
估计它使用了MD5算法、CRC算法等对整个文件或某段代码进行了完整性校验，这些算法即使只修改了一个字节其校验值也会不同的

（1）可以用Peid的Krypto ANALyzer插件查一下有没有这些算法，定位到算法位置去看看
（2）在退出函数下断，断下后在其附近找找校验位置
2010-5-27 13:00
0
qinglianzi
雪    币： 7
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
谢谢大家的指引  回头我试试！
2010-5-29 10:24
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//