-
-
在OD中对抗rdtsc
-
发表于: 2005-4-21 16:02
-
在OD中对抗rdtsc
不少壳代码使用rdtsc来检测运行时间,找出来跳过非
常烦人。rdtsc指令的解释就不?嗦了,liuyilin有篇很详
细的文章。
如果CR4的TSD(time stamp disabled)置位,则rdtsc在
ring3下运行会导致异常(特权指令),所以进入ring0,把这
个标记置上,然后Hook OD的WaitForDebugEvent,拦截异常
事件,当异常代码为特权指令时,把异常处的opcode读出检
查,如果是rdtsc,把eip加2,SetThreadContext,edx:eax
的返回由你玩了。
用MSLRH v0.3测试ok。CR4的改动是全局性的,在OD调试
期间所有使用该指令的程序都会异常:-)。
不过恶搞太多,我的OD在W2K下都不行了,现在只能在XP
下坚持革命了。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
最初由 fly 发布 如果通篇都是rdtsc 
|
|
|
除了你估计没其他人这样干了
|
|
|
|
|
|
|
|
|
|
|
|
最初由 forgot 发布 有CRC效验怎么办 
|
