-
-
TheMida带壳跟踪,断点处F7,程序退出,这种反跟踪的原理是什么?
-
发表于:
2007-4-28 13:06
8766
-
TheMida带壳跟踪,断点处F7,程序退出,这种反跟踪的原理是什么?
好久不见,不寒喧,开门见山,请问各位前辈:od带壳跟踪加themida的exe,在断点断住以后,f7步入,程序不能跟入反而直接退出,是不是因为有SEH反跟踪?遇到这种情况怎么办?是不是断住以后清除TF 标识位就能躲过?
于是在 postexitmessage,exitprocess,terminateprocess上下断点,企图找到反调试代码让程序退出的地方,但不能成功断住,是否应该下硬件执行断点?是否反调试代码跳过了退出进程的api的入口代码,应该把断点向后移动?
而且,我还发现在程序上设置的断点有时候能断住,有时候则不能。我怀疑是themida壳生成了另外几个线程在不停检测断点,有时线程在断点没有执行的时候检测到了,就退出程序了。有时候程序执行到断点处能成功中断,这是因为这时还没有轮到检测线程检测该处断点,所以断点就能执行,请问前辈,我的猜测对吗?怎样躲过反调试对断点的检测呢?谢谢先!!!
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课