使用x64dbg调试dll程序
这篇笔记是根据Lab16使用x64dbg调试带参数程序新增加的,记录了如何调试一个dll文件。
在很多时候一些程序会将核心功能放在dll
文件内来完成,这样避免程序被查杀或者被逆向分析,主要手段是通过LoadLibrayA
函数来加载一个dll
文件,同时这个dll
的DllMain
函数会被调用以此来达到执行dll
的程序。
在Windows
上要独立执行一个dll
程序,那么需要用到rundl32.exe
来完成,因此可以借助这个程序来达到调试dll的目的。
分析dll程序的启动方式
这个样本使用的是《恶意代码分析实战》第三章的Lab03-02.dll
,查看这个dll的导出符号
这个dll
的启动方式可以使用rundll32.exe dllname,ExportName arguments
的格式来启动,启动如下
rundll32.exe Lab03-02.dll,installA
下面用调试器来加载调试。