首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]请教下怎么调试反附加的程序？ 0.00雪花
发表于: 2013-5-20 20:38 2362

[旧帖] [求助]请教下怎么调试反附加的程序？ 0.00雪花

bxc 活跃值
6
2013-5-20 20:38
2362
有个程序，用OD一附加就自动退出，用Xuetr检测了一下，发现3个被hook的可疑函数，
ntdll.dll->DbgUiRemoteBreakin
ntdll.dll->NtMapViewOfSection
ntdll.dll->ZwMapViewOfSection
请问这3个函数被Hook了怎么才能调试？我试过还原被Hook的代码，但被检测出来了，进程退出。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (1)
HingC
雪    币： 39
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
主要是Hook了DbgUiRemoteBreakin这个函数，是反调试的，OD过不了这个函数的监测，可以尝试不还原监测处使用自己构造函数实现被Hook的函数功能绕过hook，你可以参考http://bbs.pediy.com/showthread.php?t=126802中关于NtOpenProcess的恢复处理，绕过之后就可以挂OD了。
2013-5-20 21:52
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//