准备利用debugapi写一个loader，来inline patch一个aspr2保护的程序。-软件逆向-看雪-安全社区|安全招聘|kanxue.com

准备利用debugapi写一个loader，来inline patch一个aspr2保护的程序。

发表于: 2008-2-2 18:15 5829

准备利用debugapi写一个loader，来inline patch一个aspr2保护的程序。

auser

活跃值

2008-2-2 18:15

5829

发现装入被保护的程序后，程序立即提示发现调试器并退出。

请问aspr2是怎样发现自己被debug的？
我现在只在loader中修改了 IsDebuggerPresent()，让其强制返回0，这样显然还不够。

请问还需要在那些地方进行处理，才能避免被aspr2发现？

这个程序用修改版的ollydbg可以正常调试。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏・3

免费

支持

分享

最新回复 (5)
theOcrat 雪币： 66 活跃值： (15) 能力值： ( LV9，RANK：330 ) 在线值：发帖 27 回帖 228 粉丝 2 关注私信	theOcrat 8 2 楼如果要写loader的话你可以去找找aspr的anti的资料如果是patch原程序的话不写成loader也可以, 就不用处理那些anti了如果是patch壳注册的话脚本已经帮你做了, 脱了就行了, 就不需要patch了 2008-2-3 10:24 0
ccfer 雪币： 8209 活跃值： (4559) 能力值： ( LV15，RANK：2473 ) 在线值：发帖 84 回帖 1529 粉丝 108 关注私信	ccfer 16 3 楼请问LZ是怎样在loader中修改IsDebuggerPresent的？ 2008-2-3 11:24 0
鸡蛋壳雪币： 427 活跃值： (412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 456 回帖 3147 粉丝 9 关注私信	鸡蛋壳 4 楼写个带硬件中断功能的 loader，发现论坛有几个人破解壳的LOADER很可能是这个原理。 2008-2-3 13:21 0
采臣·宁雪币： 242 活跃值： (431) 能力值： ( LV4，RANK：50 ) 在线值：发帖 33 回帖 1343 粉丝 6 关注私信	采臣·宁 1 5 楼只要能用OD跑，那么LOADER也行。你看看OD的ANTI-DEBUG插件开了哪些选项，对应着在LOADER中也这样实现。 2008-2-4 09:03 0
auser 雪币： 234 活跃值： (104) 能力值： ( LV2，RANK：10 ) 在线值：发帖 35 回帖 568 粉丝 1 关注私信	auser 6 楼直接WriteProcessMemory，用自己的代码覆盖原函数。 2008-2-4 22:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

auser

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区