首页
社区
课程
招聘
请大家看看这是什么反跟踪手段??
发表于: 2005-12-1 21:26 4586

请大家看看这是什么反跟踪手段??

2005-12-1 21:26
4586
.text:0040A968                         sub_40A968      proc near               ; CODE XREF: sub_40A840:loc_40A95Ap
.text:0040A968
.text:0040A968                         var_8           = byte ptr -8
.text:0040A968
.text:0040A968 33 C0                                   xor     eax, eax
.text:0040A96A 64 FF 30                                push    dword ptr fs:[eax]
.text:0040A96D 64 89 20                                mov     fs:[eax], esp
.text:0040A970 9C                                      pushf
.text:0040A971 80 4C 24 01 01                          or      byte ptr [esp+1], 1
.text:0040A976 9D                                      popf
.text:0040A977 90                                      nop
.text:0040A978 64 8F 00                                pop     dword ptr fs:[eax] ; 调试时这里出异常,不知道为什么这样?
.text:0040A97B 5B                                      pop     ebx
.text:0040A97C FE 0D 4C 47 48 00                       dec     ds:byte_48474C
.

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 288
活跃值: (415)
能力值: ( LV9,RANK:290 )
在线值:
发帖
回帖
粉丝
2
pushfd
or byte ptr [esp+1] ,1
popfd

把TF置1,使单步不产生异常,OD就无法用F8
可以用指令 g 40a978来过这个ANTI
千万不要用F8或F7键来一步步的DEBUG
2005-12-1 22:04
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
路过,学习,不是太懂
2005-12-1 23:20
0
雪    币: 219
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
呵呵
2005-12-2 12:49
0
雪    币: 111
活跃值: (55)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
5
lz你在40A977:
bp [esp+4]
F9

就知道是怎么回事了.
看看SEH的资料吧. 花样很多的.
2005-12-2 14:19
0
雪    币: 219
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
还有个奇怪的地方,上面只有一个push,下面却有两个pop??
2005-12-2 17:29
0
雪    币: 111
活跃值: (55)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
7
call A

A:  ...
    push
    pop
    ...
    pop ebx
==================================
lz明白了哇?
2005-12-3 02:19
0
雪    币: 219
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
呵呵,那么说ebx里是函数返回地址了.
2005-12-3 09:57
0
雪    币: 214
活跃值: (15)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
9
最初由 Pr0Zel 发布
pushfd
or byte ptr [esp+1] ,1
popfd

把TF置1,使单步不产生异常,OD就无法用F8
........

又学了一招
2005-12-3 11:57
0
雪    币: 288
活跃值: (415)
能力值: ( LV9,RANK:290 )
在线值:
发帖
回帖
粉丝
10
不止是这一招的,
还有像:
pushfd
or dword ptr [esp],0x100
popfd

也是使TF置1的
TF寄存器在标志寄存器的第8位上面
2005-12-3 19:49
0
游客
登录 | 注册 方可回帖
返回
//