能力值：
( LV2，RANK：10 )
|
-
-
2 楼
在ＯＤ里跟踪应该可以
|
能力值：
![]()
(RANK：410 )
|
-
-
3 楼
多谢
如果自己用程序完成，有什么好的实现方法没？
|
能力值：
![]()
(RANK：410 )
|
-
-
4 楼
自己顶一下。
|
能力值：
( LV4，RANK：50 )
|
-
-
5 楼
只能模拟所有代码执行。
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
应该可以写个脚本出来
|
能力值：
( LV9，RANK：970 )
|
-
-
7 楼
B T S
|
能力值：
![]()
(RANK：1060 )
|
-
-
8 楼
ia32_msr_sysenter
|
能力值：
![]()
(RANK：570 )
|
-
-
9 楼
发哥人真好。。。LZ该加声望了
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
关注一下。。。。
|
能力值：
( LV13，RANK：970 )
|
-
-
11 楼
可以弄个什么DLL劫持，把加载的系统库给劫持掉，换成自己的接口，不过貌似有些麻烦
|
能力值：
![]()
(RANK：410 )
|
-
-
12 楼
多谢诸位，
BTW:发哥是哪位？BTS又是啥呢？
|
能力值：
![]()
(RANK：570 )
|
-
-
13 楼
发哥 = FORGOT...
R3到R0的切换,WIN2K的年代用的INT2E, 也就是你挂钩IDT,就基本可以检查所有的R3 到R0的切换了...
XP的年代则是SYSENTER.....你需要挂钩MSR...随便搜索一下,基本也可以找到代码了...
因为你的问题很多搞内核的,以及不搞内核的都知道,我还以为会没人答呢.....
至于BTS是CPU提供的分支记录功能...可以记录所有分支的地址,包括R3 和R0的...前阵子有人发过文章还置顶了的...
|
能力值：
( LV4，RANK：50 )
|
-
-
14 楼
程序领空”到“系统领空”的切换
==
R3 到R0的切换
？？？？
|
能力值：
![]()
(RANK：570 )
|
-
-
15 楼
哦...明白了...跑题了...把系统DLL的页属性都改成不可执行吧...跑到那个位置产生异常,接收异常之后可以在当前堆栈得到返回地址,也可以用原来的方法,直接在你要监视的进程空间改页属性.....
不过BTS依然可以满足这个需求就是了..
还有的还有,改EXE的输入表,HOOK GETPROCADDRESS,只是这样做对于壳自己模拟的那个API就无效了, 改新加载的系统DLL输出表,使其先转向到你的代码或许也是解决方案之一....只是这样和NBW说的差不多了
|
能力值：
![]()
(RANK：410 )
|
-
-
16 楼
非常感谢 
|
能力值：
![]()
(RANK：1060 )
|
-
-
17 楼
===不妥，删除===
|
能力值：
![]()
(RANK：570 )
|
-
-
18 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
19 楼
16楼正解…… 如果在OD中可以在所有载入的系统DLL的代码段设置访问断点，一旦执行到就会触发咯。
|
|
|
|
