先搞定读取程序内存

??“先搞定读取程序内存”？？不明白。
一开始是能读取的啊，用OD加载的。否则我也无法在那些地方下断，修改内存了。就是在程序完全跑起来之后，所有的东西全空了。

程序跑起来以后让od不能读取他的内存, 所以od显示的都是空的

ThreadHideFromDebugger

ZwSetInformationThread与ZwSetInformationProcess要怎么过？
搜索了一下论坛，有贴子说：“ZwSetInformationThread(GetCurrentThread( ), ThreadHideFromDebugger, NULL, 0))
是不是这个？要过它太简单了

入口代码用patch过的od就可以断下来，那也太简单了。。”

我直接下断retn 10好像不行，仍然全空白。这两个函数在进程中被调用>3次。请高手指教。

你搜的是啥关键字。看这个吧

(4) NtSetInformationThread
ntdll!NtSetInformationThread is a wrapper around the
ZwSetInformationThread syscall. Its prototype is the following:
NTSYSAPI NTSTATUS NTAPI NtSetInformationThread(
IN HANDLE ThreadHandle,
IN THREAD_INFORMATION_CLASS ThreadInformationClass,
IN PVOID ThreadInformation,
IN ULONG ThreadInformationLength
);

When called with ThreadInformationClass set to 0x11
(ThreadHideFromDebugger constant), the thread will be detached from
the debugger.

Similarly to ZwQueryInformationProcess, circumventing this anti-debug
requires either modifying ZwSetInformationThread parameters before
it's called, or hooking the syscall directly with the use of a kernel
driver.

Example:
push 0
push 0
push 11h ;ThreadHideFromDebugger
push -2
call NtSetInformationThread
;thread detached if debugged
;...