首页
社区
课程
招聘
[求助]调试运行时释放的代码
发表于: 2012-8-13 11:03 4916

[求助]调试运行时释放的代码

2012-8-13 11:03
4916
求助大牛,
调试软件遇到这样的情况:运行的时候会释放临时的tmp文件,随机命名,然后程序转到这个tmp文件地址空间中去运行,处理逻辑,再跳转回来。
我想分析一段位于这个tmp文件中的代码,但是OD的断点会在重新加载的时候失效,IDA也不知道怎么查看这样动态释放的东西。
各位有什么好办法吗?

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 0
支持
分享
最新回复 (5)
雪    币: 107
活跃值: (404)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
用processxp关闭文件句柄,然后复制..粘贴!!
不行就
xuetr直接dump
不行就
断在CreateFile,WriteFile,等他文件写入完毕,手动CloseHandle..然后就可以复制粘贴了.

还有多种方法.自己想想
2012-8-13 11:08
0
雪    币: 39
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
MarlWare Defender 或者SSM,当文件释放并且写入成功的时候,在copy也是一样的。另外就是保存UDD文件,断点就有效了。
2012-8-13 12:31
0
雪    币: 72
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
4
感谢两位提供的方法,我已经成功把代码dump出来,可以静态分析了。
不过OD断点依然失效
2012-8-13 13:14
0
雪    币: 952
活跃值: (1821)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
hook他随机生成文件的地方 把文件名改成固定,或者hook loadlibrary 载入固定文件名
2012-8-13 17:39
0
雪    币: 72
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
6
搞定,谢谢。
2012-8-15 14:09
0
游客
登录 | 注册 方可回帖
返回
//