-
-
[原创]如何调试xxProtect
-
发表于: 2019-1-12 20:52
-
0x1:
好久没搞反调试这一块了。心痒痒，开搞。
0x2:
0x2:
打开demo,长这样。
是个64的程序，直接上x64dbg ,发现竟然找不到进程.尝试直接OpenProcess，报错
STATUS_INVALID_CID
根据msdn描述，很清楚了
做个实验测试一下
系统根据cid拿不到eprocess信息，看看PsLookupProcessByProcessId的实现
可以考虑自己维护下这个东西cid->cidtableentry。
0x3:
hook一哈PspReferenceCidTableEntry
在进程创建的时候调用下ProcessStart加入当前的table.结束的时候调用下ProcessDelete移除掉table
然后跑起来..发现有点问题。在进程退出的时候，系统会GG掉。那只能换个办法了，hook吧PsLookupProcessByProcessId
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
