首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]OD调试无法停在入口 0.00雪花
发表于: 2009-7-2 08:14 3783

[旧帖] [求助]OD调试无法停在入口 0.00雪花

kwzlj 活跃值
2009-7-2 08:14
3783
调试某程序，脱壳后，运行一闪而过，应该有自校验，用OD载入，试过多个OD隐藏插件，都没办法停在入口，下面状态栏提示“程序已退出”，标题栏显示“模块 - ntdll”，请教各位有什么办法能让程序停在入口？

上面问题已经解决，现遇到新问题，注册验证部分可能在DLL文件中，要如何才能跟踪到该代码？我用LOADPE工具分析了DLL函数输出部分，发现了可疑的函数，如何在OD调试主程序是跟到该可疑的函数？

[课程]FART 脱壳王！加量不加价！FART作者讲授！

收藏
免费 ・0
支持
分享
最新回复 (4)
zhingma
雪    币： 5
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
反调试代码/还有花指令/用ida吧
2009-7-2 09:58
0
kwzlj
雪    币： 276
活跃值： (34)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
问题虽然解决了，但仍然不是很明白，我带壳调试，发现校验代码在DLL文件中，修改DLL文件自校验去除，但我不明白的是为什么校验在DLL文件中，主程序用OD载入无法停在入口，程序会自动退出了。
2009-7-2 11:12
0
wzjok
雪    币： 398
活跃值： (49)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
这个DLL文件是隐式装载的，主程序运行时，操作系统首先载入这个DDL，并调用这个DDL文件中的初始化代码对DDL模块进行初始化，然后才是运行你的主程序。
   我估计“校验代码”就放在DDL模块的初始化代码段中！
＝＝＝＝＝＝＝＝＝＝＝
   个人愚见，如有不对，还请各位指正！
2009-7-2 23:19
0
kwzlj
雪    币： 276
活跃值： (34)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
虽然不是很明白，非常感谢你的回复。
2009-7-3 10:17
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//