-
-
未解决 [求助] win10 1803 构建新的调试体系问题 求各位师傅解惑
-
发表于: 2020-9-19 21:48
-
一‘ hook DbgkCreateThread 过程中会破坏rax 根据下断观察 rax破坏无所谓
二、接下来修改函数头部，直接跳转到新的 NewDbgkCreateThread
三、接下来程序跑到NewDbgkCreateThread 里面 出现了图中的情况
新构建的NewDbgkCreateThread 是根据wrk 编写的。
调试过程中感觉process获取错了，我在windbg 上直接 eq 修正 但后面还是会出现一个非法地址不存在的地址
问题已解决 是process获取错误
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2020-9-22 17:37
被叽叽‘and1=1编辑
，原因： 问题已解决
|
|
|---|---|
|
|
|
|
|
wrk的代码多多少少夹带了点微软的私货，比起reactos还是差点意思
|
|
|
不会吧~ 就是一个获取process 的函数而且wrk 这部分写得也很明朗 |
|
|
|
|
|
x64没有所谓的PsGetCurrentProcessByThread，只有PsGetCurrentProcess，获取当前线程的Tcb.ApcState.Process，如果要获取其他线程挂靠的Process，只能把这部分结构体的偏移硬编码 |
|
|
恩，我看看吧 PsGetCurrentProcessByThread其实是微软封装好的的 宏 原型这样的 #define PsGetCurrentProcessByThread(xCurrentThread) (ASSERT((xCurrentThread) == PsGetCurrentThread ()),CONTAINING_RECORD(((xCurrentThread)->Tcb.ApcState.Process),EPROCESS,Pcb)) |
|
|
一些基本操作应该都是 一样的，我在ida反编译看 没有改变很多 |
