-
-
[原创][原创]调戏：纯应用层的Anti本地调试器（2）
-
发表于: 2013-11-25 01:35
-
本文是一个开胃用的（最近论坛不少抛砖的，就是玉石不出啊）。核心内容是怎么搞死SOD的Anti Anti Attach功能。
上一篇Anti中调戏了OD的附加和硬件断点，但是对于SOD而言，反附加还是太苍白，于是突然想起多年前，曾经被大神们使用的一个技巧，于是特来调戏一番SOD。当SOD中开启神秘功能 Anti Anti Attach时，OD附加后暂停的EIP代码中，如果用OD单步 F7会看到如下的一段代码：
这里不难看到一个native级的api，作为一个常年混迹于黑暗世界的调戏师立刻就心生歹意。
如果在这Native API上做个文章，比如取出其返回地址进行一番计较，会不会十分精彩呢。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 大清早的吃多了消化不良
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 开胃开胃
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
张姿势了，，，
|
|
|
这是不是检测RtlExitUserThread的返回地址看看是否在ntdll模块内？
全开sod难道不是吗？。。 为什么我的sod全开之后没效果
|
|
|
|
|
|
|
|
|
|
|
|
|
