首页
社区
课程
招聘
[求助]od加载后,窗口一闪,程序自动退出,如何下断点?
发表于: 2007-8-5 12:52 9390

[求助]od加载后,窗口一闪,程序自动退出,如何下断点?

2007-8-5 12:52
9390
新手来报到。大家多多帮助。谢谢,呵呵

程序状态:
od加载了一个程序,原程序用PEiD检查加ASPack 2.12 -> Alexey Solodovnikov壳,用自动脱壳机脱掉后,Borland Delphi 6.0 - 7.0,od加载提示入口点不对。

F9 运行,窗口一闪,程序退出。

我的实验:
带壳调试,代码乱七八糟。代码如下:
00424D14      81                 db 81
00424D15      FB                 db FB
00424D16      3C                 db 3C                                    ;  CHAR '<'
00424D17      7B                 db 7B                                    ;  CHAR '{'
00424D18      40                 db 40                                    ;  CHAR '@'
00424D19      00                 db 00
00424D1A      74                 db 74                                    ;  CHAR 't'
00424D1B      07                 db 07
00424D1C      8B                 db 8B
00424D1D      C3                 db C3
00424D1E      E8                 db E8
00424D1F      05                 db 05
00424D20      FF                 db FF
00424D21      FF                 db FF
00424D22      FF                 db FF
00424D23      5E                 db 5E                                    ;  CHAR '^'
00424D24      5B                 db 5B                                    ;  CHAR '['
00424D25      C3                 db C3
00424D26      8B                 db 8B
00424D27      C0                 db C0
00424D28      55                 db 55                                    ;  CHAR 'U'
00424D29      8B                 db 8B

脱壳后还有部分db

下断点 DestroyWindow 等等都在窗口退出之后断下,返回代码领空,向上追追不出来。

请问该下什么断点?

绝对新手,呵呵。大家帮帮忙。

[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

收藏
免费 0
支持
分享
最新回复 (11)
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
这个程序应该有检测OD功能,可以下载插件,我也是新手,请其他高手指点。
2007-8-5 13:57
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
有没有隐藏OD?
2007-8-5 14:57
0
雪    币: 2110
活跃值: (21)
能力值: (RANK:260 )
在线值:
发帖
回帖
粉丝
4
脱壳后不调试可运行不?如果能够的话那就是反OD,如果不能的话就是自校验反脱悫.

慢点跟,F8配合F7

另一个思路,bpx ExitProcess ,然后在调用ExitProcess的地方从堆栈里一层一层地找出Anti代码的位置,暴跳它
2007-8-5 19:01
0
雪    币: 347
活跃值: (25)
能力值: ( LV9,RANK:420 )
在线值:
发帖
回帖
粉丝
5
不是反OD就是自校验
2007-8-5 19:06
0
雪    币: 1355
活跃值: (334)
能力值: ( LV13,RANK:920 )
在线值:
发帖
回帖
粉丝
6
先“删除模块中分析”,看看原形。。。也许壳已经脱了。。。只是程序自校验或者反调试。。。你可以带壳调试,如果F9跑

得起来就是自校验,否则是反调试。
2007-8-5 19:40
0
雪    币: 116
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
基本上判定是有反调试的,bpx ExitProcess  不能有效跟踪.那乱麻烦死人。有时候不脱壳带壳调试返回代码领空会在乱码中。无法判定。脱壳后bpx ExitProcess ,也追踪不到什么东西。汗阿
2007-8-5 20:40
0
雪    币: 116
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
F9 跑得起来的,带壳调试也是窗口一闪飘过,不带壳也一样的。
2007-8-5 20:41
0
雪    币: 116
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
爱琴海,高人阿,呵呵
2007-8-5 20:46
0
雪    币: 1355
活跃值: (334)
能力值: ( LV13,RANK:920 )
在线值:
发帖
回帖
粉丝
10
过奖了,我不吃黄蓉,我不会蜈蚣,我只有蛤蟆功。。。

这个程序最好能给个地址连接,或者把你的脱壳后的文件传上来 让那些高手来破之
2007-8-5 21:05
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
hnr
11
给个下载地址,让小菜鸟也研究下,,,
2007-8-5 21:11
0
雪    币: 37
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
在OD调试之前,需要先手动去修改一下这个PE程序“导出表”中的“函数名数目”值。方法:使用“LordPE”打开要编辑的PE程序,然后依次选择[目录]-> [导出表对应的“..”按钮],把“函数名数目”的值减1,并点击“保存”按钮,这样就OK了。为了好看些,您也可以把“函数数目”和“函数名数目”的值都同时减1并保存

从其他地方来的,我调试的程序有用,不知道你的有用没
2013-10-31 11:31
0
游客
登录 | 注册 方可回帖
返回
//