首页
社区
课程
招聘
[求助]调试运行时释放的代码
2012-8-13 11:03 4487

[求助]调试运行时释放的代码

2012-8-13 11:03
4487
求助大牛,
调试软件遇到这样的情况:运行的时候会释放临时的tmp文件,随机命名,然后程序转到这个tmp文件地址空间中去运行,处理逻辑,再跳转回来。
我想分析一段位于这个tmp文件中的代码,但是OD的断点会在重新加载的时候失效,IDA也不知道怎么查看这样动态释放的东西。
各位有什么好办法吗?

阿里云助力开发者!2核2G 3M带宽不限流量!6.18限时价,开 发者可享99元/年,续费同价!

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (5)
雪    币: 107
活跃值: (311)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Fido 2012-8-13 11:08
2
0
用processxp关闭文件句柄,然后复制..粘贴!!
不行就
xuetr直接dump
不行就
断在CreateFile,WriteFile,等他文件写入完毕,手动CloseHandle..然后就可以复制粘贴了.

还有多种方法.自己想想
雪    币: 39
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
dahaione 2012-8-13 12:31
3
0
MarlWare Defender 或者SSM,当文件释放并且写入成功的时候,在copy也是一样的。另外就是保存UDD文件,断点就有效了。
雪    币: 72
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
打狗棒 2012-8-13 13:14
4
0
感谢两位提供的方法,我已经成功把代码dump出来,可以静态分析了。
不过OD断点依然失效
雪    币: 962
活跃值: (1541)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
loqich 2012-8-13 17:39
5
0
hook他随机生成文件的地方 把文件名改成固定,或者hook loadlibrary 载入固定文件名
雪    币: 72
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
打狗棒 2012-8-15 14:09
6
0
搞定,谢谢。
游客
登录 | 注册 方可回帖
返回