Lab16使用x64dbg调试带参数程序

Lab16使用x64dbg调试带参数程序

在分析一些样本的时候，无论是.exe / .dll程序，或多或少都需要给程序添加参数。尤其是通过命令行给参数使得程序运行起来的。这篇笔记主要记录的两个调试方式

• 调试带参数启动的.exe程序
• 调试带参数启动的'.dll'程序 看下一篇文章

今天分析的程序是来自《恶意代码分析实战》的第十六章实验，第二个程序是一个crackme的程序，本来这个样本的重点是关注反调试部分的知识点，笔者在分析的时候发现这个有一个知识点–如何使用x64dbg调试带参数启动的程序，因此这里就一并记录了。

Lab16-02 分析反调试–TLS回调

首先查看这个PE文件知道这是一个cmdline的程序

直接运行后提示要求输入四个字符的密码

同时发现了.tls段

使用ida分析这个程序配合Ctrl+E快捷键打开程序的入口，这个技巧会将程序的入口程序都列出来，如下