首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[已解决]如何避开调试器？知道OEP但走不到OEP，郁闷！
发表于: 2007-1-26 06:07 4367

[已解决]如何避开调试器？知道OEP但走不到OEP，郁闷！

初级菜鸟 活跃值
2007-1-26 06:07
4367
请各位大侠帮忙，实在不知道怎么走到OEP，要不然就是检测到调试器，郁闷死了！

OD加载停在

00409F4A >  60              PUSHAD  // 停在这里
00409F4B    E8 00000000     CALL memtest.00409F50
00409F50    8B2C24          MOV EBP,DWORD PTR SS:[ESP]
00409F53    83C4 04         ADD ESP,4

Alt+M打开内存在00401000下内存访问断点，F9

0040A527    C700 33C090C3   MOV DWORD PTR DS:[EAX],C390C033  //  断在这里
0040A52D    FFD0            CALL EAX  //  EAX=00402AC6 (memtest.00402AC6) OEP
0040A52F    8D85 10060000   LEA EAX,DWORD PTR SS:[EBP+610]
0040A535    8985 431F0000   MOV DWORD PTR SS:[EBP+1F43],EAX

这里知道OEP是00402AC6，但怎么也走不到，在不然就走着走着弹出检测到调试器的信息”Debugger detected  - please close it down and restart!”

怎么办？

这个文件很小，是用来测试内存的稳定性的，请大家帮个忙，谢谢！

下载地址：http://www.live-share.com/files/144898/memtest.rar.html

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
免费 ・0
支持
分享
最新回复 (7)
笨笨雄
雪    币： 846
活跃值： (221)
能力值： (RANK：570 )
在线值：
发帖
回帖
粉丝
私信
2 楼
知道OEP就不用走到OEP了，在解码后直接DUMP就OK了。
2007-1-26 08:54
0
csjwaman
雪    币： 319
活跃值： (2404)
能力值： ( LV12，RANK：980 )
在线值：
发帖
回帖
粉丝
私信
3 楼
置40B707为0即可。
2007-1-26 08:58
0
无聊的菜鸟
雪    币： 622
活跃值： (294)
能力值： ( LV13，RANK：410 )
在线值：
发帖
回帖
粉丝
私信
4 楼
0040B79B      \\.\SICE.\\.\SIWVID.\\.\NTICE.\\.\REGSYS.\\.\REGVXG.\\.\FILE
0040B7DB  VXG.\\.\FILEM.\\.\TRW.\\.\ICEEXT.Debugger detected  - please clo
0040B81B  se it down and restart!..Windows NT users: Please note that havi
0040B85B  ng the WinIce/SoftIce..service installed means that you are runn
0040B89B  ing a debugger!
推测是CreateFileA检测。

0040B01F    3BBD 16140000   cmp     edi, dword ptr [ebp+1416]        ; Kernel32.ImageBase
0040B025    74 08           je      short 0040B02F                        修改为7400
0040B027    3BBD 1A140000   cmp     edi, dword ptr [ebp+141A]        ; User32.ImageBase
0040B02D    75 59           jnz     short 0040B088                        修改为EB00
在下面就是加密了
2007-1-26 09:11
0
skylly
雪    币： 304
活跃值： (82)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
5 楼
这是啥壳？
似曾相识.
上传的附件：
2007-1-26 10:31
0
Ryosuke
雪    币： 370
活跃值： (78)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
6 楼
打上HideOD的CheckRemoteDebuggerPresent和IsDebuggerPresent的选项。
0040B110    8D85 B7170000   lea     eax, dword ptr [ebp+17B7]
0040B116    50              push    eax
0040B117    6A FF           push    -1
0040B119    FF95 A7170000   call    dword ptr [ebp+17A7]
0040B11F    8B85 A7170000   mov     eax, dword ptr [ebp+17A7]       ; kernel32.CheckRemoteDebuggerPresent
0040B125    8138 8B442408   cmp     dword ptr [eax], 824448B
0040B12B    75 0A           jnz     short 0040B137
2007-1-26 11:11
0
fonge
雪    币： 263
活跃值： (10)
能力值： ( LV9，RANK：210 )
在线值：
发帖
回帖
粉丝
私信
7 楼
然后下HE 断点
不怕它停不到OEP
2007-1-26 12:17
0
初级菜鸟
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
经过斑竹和各位大侠的说明，问题已解决，谢谢你们。
2007-1-26 12:58
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//