首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[原创]xp sp3下的Process32NextW，诡异的代码
发表于: 2008-7-26 22:52 6149

[原创]xp sp3下的Process32NextW，诡异的代码

loveurlife 活跃值
2008-7-26 22:52
6149
小弟是菜鸟，最近发现一件很诡异的事情，想和大家分享一下观点，也想请教一下高手。

在windows xp sp3以及sp2打过一些补丁后，不知道大家有没有发现，Process32NextW函数的反汇编编程了如下代码：
xor eax,eax
retn 8
这是多么诡异的事情啊，难道这是微软为了防止某些病毒作出的重大调整吗？不知道高手有什么看法？
同时想请问一下以后要列举进程应该用什么方法。

[课程]Linux pwn 探索篇！

收藏
免费 ・0
支持
分享
最新回复 (9)
海风月影
雪    币： 7309
活跃值： (3778)
能力值： (RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
2 楼
你用了OD的HideOD.dll插件吧
2008-7-26 22:55
0
xPLK
雪    币： 375
活跃值： (12)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
3 楼
显然是被做过手脚的了。
2008-7-26 23:24
0
loveurlife
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
不是做过手脚的，大家可以自己试试，凡是xp sp3或者sp2打过最新补丁的都这样。
2008-7-27 09:04
0
loveurlife
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
二楼是对的，我真是菜鸟。汗，以后要多多学习。
2008-7-27 09:12
0
dayed
雪    币： 225
活跃值： (10)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
6 楼
太有经验了,一看就老手
2008-7-27 09:28
0
海风月影
雪    币： 7309
活跃值： (3778)
能力值： (RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
7 楼
看代码要用IDA，不能用OD
2008-7-27 09:32
0
shellwolf
雪    币： 2316
活跃值： (129)
能力值： (RANK：410 )
在线值：
发帖
回帖
粉丝
私信
8 楼
我也曾因此而晕了一个晚上才搞清楚。
可能以后还会遇到OutputDebugStringA()，CheckRemoteDebuggerPresent()...的怪异问题。
也可以用ZwQueryInformationProcess找进程
2008-7-27 09:47
0
海风月影
雪    币： 7309
活跃值： (3778)
能力值： (RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
9 楼
所以说，最好不要用HideOD.dll，用了也不要全勾
2008-7-27 09:48
0
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
是调试器插件自己HOOK了API
2008-7-27 11:00
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//