首页
社区
课程
招聘
od附加问题, 跟贴有分
发表于: 2012-8-30 08:21 6231

od附加问题, 跟贴有分

2012-8-30 08:21
6231
驱动层的各种HOOK已经恢复和处理,也干掉了调试端口清0和清0代码的检测。

OD附加虽然成功,但是马上OD就告知线程已结束,退出代码全F。 CPU窗口代码停留在0x7c开头的地址,代码为sysenter, retn.   查看OD的调用堆栈,总是乱变化。

此时 被附加进程照样运行, 关掉OD,被附加进程也跟着消失,应该说明了OD附加调试成功了。可是被附加进程为何没断下来呢。

请问大妞们来详细说一下,这是什么情况。

内存可以搜索, 打开和附加进程都成功, 说明驱动层的处理应该已经成功了吧。
是不是3环的反调试作怪呢, 如果是,大概都有哪些方法.

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (15)
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
我想, 上面已经把问题说清楚了,如果还不够清楚,请大牛们跟帖留言
2012-8-30 08:25
0
雪    币: 287
活跃值: (578)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
DebugActiveProcess创建设置调试对象端口之后,是通过创建一个远程线程来跑DbgBreakPoint的函数,这个函数里面就执行了INT3,所以OD一附加进程就会断下了。这些都是可以做手脚的。另外3环使用的调试对象的句柄是放在OD调试线程的FS:F24处,等待调试事件 继续事件都是需要这个句柄的,这也是可以做手脚的。
2012-8-30 10:07
0
雪    币: 43
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
反侦测OD的手段很多,OD的防侦测手段也很多,LZ不能以为只设置了调试位,附加的进程就会检测不到。
2012-8-30 10:19
0
雪    币: 31
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
我是新人,也碰到拒绝调试的进程了,我还没楼主厉害,支持一下,看总结
2012-8-30 10:20
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
求解决办法.....
2012-8-30 10:48
0
雪    币: 169
活跃值: (25)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
可执行模块里有东西没,可直接恢复R3某几个api
2012-8-30 11:26
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
OllyAdvanced插件全钩上,附加正常,程序断下来了。 不过还是不知道是何原因

断到了如图的位置, 是正确的吧

在按F9运行,程序跑不起来了,是咋回事呢
上传的附件:
2012-8-30 11:53
0
雪    币: 287
活跃值: (578)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
9
[QUOTE=我喝多了;1098374]OllyAdvanced插件全钩上,附加正常,程序断下来了。 不过还是不知道是何原因

断到了如图的位置, 是正确的吧

在按F9运行,程序跑不起来了,是咋回事呢[/QUOTE]

3楼我都说了,调试句柄,如果0环的检测你都去掉的话那很大可能就是调试句柄,你看下OD FS:F24的地方有没有值,3环调试API与0环的通信都是基于这个调试句柄的,被清掉了就不能工作了,或者你OD调试OD,看哪个调试API里面出问题了,最直接的方法其实就是把3环部分的API自己写了
2012-8-30 13:19
0
雪    币: 1790
活跃值: (3766)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
10
楼主能否发下你调试的软件,对这个问题比较感兴趣。
2012-8-30 14:08
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
轩辕传奇......
2012-8-30 15:01
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
来人继续啊....
2012-8-30 17:58
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
附加陈功了, F9运行起来了, 1分钟之内进程弹框报了非法模块,应该是检测到OD了,目标进程自己关掉了。 重来之后,3环 断MessageBoxA/W, ExitProcess, 0环断ZwTerminateProcess, NtTerminateProcess,  都没断下来, 这时候要怎么办啊
2012-8-30 18:24
0
雪    币: 130
活跃值: (1005)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
看看OD里有没有 "进程补丁.dll"的文件 把他删了 因为这插件会发生冲突
好久没去看过TP了 不知详情
2012-8-30 19:02
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
这位大牛, 没有 进程补丁.dll
2012-8-30 19:09
0
雪    币: 1625
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
大牛们都哪去了啊
2012-8-30 20:47
0
游客
登录 | 注册 方可回帖
返回
//