首页
社区
课程
招聘
[求助]牛牛来,特殊命令sysenter。
发表于: 2009-6-22 22:58 5131

[求助]牛牛来,特殊命令sysenter。

2009-6-22 22:58
5131
分析程序时发现一个汇编命令sysenter,不知道怎么分析了,是F7跟着还是怎么分析啊,我在那下断了,要不直接就看见注册窗口出来了,却不知道注册部分的代码在哪里?

补充:
不会用softice
bp MessageBoxA
bp GetDlgItemTextA
bp GetWindowTextA
等命令没效果,还有请各位大大不要说什么领不领空的
告诉我个解决思路

我这个程序他启动时又生成个新程序并执行新程序,汗,没弄过。
用delphi编写的无壳,算法用peid插件看是有一个base64和3个md5
网络验证(是个游戏外挂),我想直接跳过网络验证,可以吗?

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 208
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
一般api都是要调用系统服务。sysenter就是api调用系统的接口,通过中断机制实现。sysenter里面的代码都是运行在ring0级别。OD是ring3级别,OD只能在系统服务执行完毕后才能中断下来,所以F8/F7 sysenter后注册框就出来了。
你下个对话框的api断点或在注册框出现后,暂停程序,查看堆栈帧。
2009-6-23 12:22
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
哎 看来这个对我来说有点难了 看了下之前别人破解思路 这个版本好像不行了
2009-6-23 18:44
0
雪    币: 2110
活跃值: (21)
能力值: (RANK:260 )
在线值:
发帖
回帖
粉丝
4
在KiFastSystemCallRet处下断点。

sysenter系统调用指令并不保存返回地址,它被设计为直接转到ring0的一个固定地址(事先配置好的),而对应的sysleave指令同样设计为直接返回到一个固定地址(同样事先配置好的)。

在nt中,这个地址就是KiFastSystemCallRet
2009-6-25 18:18
0
游客
登录 | 注册 方可回帖
返回
//