首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]OD附加电脑重启。
发表于: 2011-12-7 23:31 7242

[求助]OD附加电脑重启。

mistyes 活跃值
2011-12-7 23:31
7242
用OD附加程序，大概在附加完刚要暂停程序的时候电脑重启。用CE搜索，可读可写，但是不能附加调试器到程序上，否则电脑重启。请问这有可能是反调试里面的哪一种方法？我用论坛上那个Mydbg调试器也不能调试。用了OD的PhantOm和StrongOD插件也无效。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (9)
潇遥子枫
雪    币： 7
活跃值： (69)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
有驱动么？有驱动估计是KeAttachStackProcess、KeAttachProcess、KiAttachProcess被搞了。重启是怎么个重启？直接黑了，还是正常关机启动式的重启？直接黑了就稳妥是内核了，正常重启的话有可能是R3搞的鬼。
2011-12-7 23:48
0
潇遥子枫
雪    币： 7
活跃值： (69)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
KeAttachStackProcess此处订正为KeStackAttachProcess
2011-12-7 23:49
0
Dstlemoner
雪    币： 292
活跃值： (153)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
4 楼
观看中。。。。。。
2011-12-8 09:04
0
奘和
雪    币： 4902
活跃值： (120)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
驱动冲突吧。。。
2011-12-8 09:48
0
mistyes
雪    币： 276
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
有驱动，用XT看 inline hook了OpenProcess ReadVirtualMemory WritVirtualMemory三个函数，IDT hook Debug和breakpoint2个函数 这几个函数我都用KD改回去了，IDThook我直接用jmp跳转到正确的ISR上。没改之前不能附加不能读写，改了之后CE能用，但是OD附加完就重启，跟直接按了机箱上的重启按钮一样，直接黑了马上又重启。
2011-12-8 16:23
0
mistyes
雪    币： 276
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
Mydbg这个调试器没加载驱动，附加后一样重启，不应该是驱动冲突吧
2011-12-8 16:51
0
mistyes
雪    币： 276
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
我刚看了KeStackAttachProcess和KeAttachProcess 都正常 KiAttachProcess未导出看不到，估计也是正常的。
软件大概是判断自己是否正在被调试才重启的电脑，只是不知道是依靠的什么判断出来的
2011-12-8 17:03
0
潇遥子枫
雪    币： 7
活跃值： (69)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
方法很多。R3通知R0重启是一类。R0直接自己检测又是一类。
甭管什么SOD或者Phantom以及HideToolsz之类的先绑上，KiAttachProcess一定要确定是否被钩挂，最后可能就是检测DebugPort,TCB之类的，别的一下子还没想起来。吃晚饭回来再帮你想想
2011-12-8 17:45
0
mistyes
雪    币： 276
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
刚看了 KiAttachProcess正常。另外我调试的是一款游戏，这个游戏在登陆账号前只有一个驱动在起作用，登陆后才会涉及应用层的检测，现在就是还未登陆OD已经不能附加了。
2011-12-8 19:01
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//