首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]为什么dll调用，用“EB FE”断不下来？
发表于: 2015-2-10 14:53 7859

[求助]为什么dll调用，用“EB FE”断不下来？

bridgeic 活跃值
2
2015-2-10 14:53
7859
dll文件被主程序调用，修改dll入口处为“EB FE”，但是主程序运行几秒后，直接退出了（退出代码42E）。如果删除这个dll文件，主程序直接报错退出。

这个可能是什么原因呢，明明是有调用dll，为什么"EB FE"断不下来呢？什么情况可以防止用户用“EF BE”给DLL下断点？

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (16)
人在塔在
雪    币： 144
活跃值： (335)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
可能是你od设置忽略了这些异常
2015-2-10 15:24
0
NutCracker
雪    币： 39
活跃值： (2881)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
机器码及顺序都写错了。
应该是EB, FE
相当于jmp $死循环。
其中EB是jmp short指令的操作码。
2015-2-10 15:26
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
4 楼
Sorry, 我这里写错了，我用的是"EB FE".
2015-2-10 15:36
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
5 楼
这个要怎么检查呢？我看了下“调试设置”->“异常”，所有的忽略选项都去掉了啊？
2015-2-10 15:39
0
NutCracker
雪    币： 39
活跃值： (2881)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
你干脆把字节改成CC得了，相当于int 3断点。
然后在OllyDbg里面，选项->调试设置->异常->忽略以下异常，
把int 3前面的勾去掉。
程序执行到DLL入口就一定会断下来。
2015-2-10 15:53
0
人在塔在
雪    币： 144
活跃值： (335)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
strong od也有的，看看是不是勾上了
2015-2-10 16:40
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
8 楼
NutCracker兄，又报这个错了

Failed to load required *** dll.
操作系统找不到已输入的环境选项。（L:\...\****.dll）
2015-2-10 17:39
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
9 楼
一加载strongod.dll就报错，难道是我的PC机有问题吗？
上传的附件：
2015-2-10 18:06
0
bxc
雪    币： 7048
活跃值： (3527)
能力值： ( LV12，RANK：340 )
在线值：
发帖
回帖
粉丝
私信
10 楼
EB FE就像楼上说的，就是死循环，不会触发异常，OD又怎么会断下来。。
2015-2-10 20:07
0
ttstation
雪    币： 1103
活跃值： (506)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
EB FE，个人经常用在进程A调用进程B的情况下，把B进程入口改成EB FE，A进程调用后，B进程处于死循环，开启OD附加进程B，OD运行一下再暂停，把进程B的入口改回去即可继续调试，如果是DLL的话，建议在EXE中下LoadLibrary断点，程序执行LoadLibrary 后，对刚加载的DLL搜索字符串或者对DLL里的CALL进行下断点调试，这样应该会被断下了的。
2015-2-10 20:50
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
13 楼
“在EXE中下LoadLibrary断点”，能具体说下怎么下吗？不好意思，这个没用过，谢谢啦：）
2015-2-11 09:16
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
14 楼
会不会是dll加了壳？（图太小，好像看不清，加了附件）
上传的附件：
2015-2-11 09:47
0
acqqer
雪    币： 123
活跃值： (144)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
15 楼
EB FE显然断不下来，这是死循环
2015-2-11 11:36
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
16 楼
一般的用F12可以，只是这个case断不下来，不知道为什么。

http://bbs.pediy.com/showthread.php?t=15629
2015-2-11 11:38
0
bridgeic
雪    币： 484
活跃值： (269)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
17 楼
ttstation兄，

是这个吗？不行啊，还是断不下来。
上传的附件：
2015-2-11 14:12
0
ttstation
雪    币： 1103
活跃值： (506)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
18 楼
对
LoadLibraryA
LoadLibraryW
LoadLibraryExA
LoadLibraryExW
下断，在API执行完的那个retun，也下个断，加载DLL后，断在retun的时候查看DLL模块，搜索Text或者某个Call下断，肯定是可以断下来的
2015-2-13 16:15
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//