调试器（DebugActiveProcess注意）

最新推荐文章于 2024-08-11 21:13:29 发布
最新推荐文章于 2024-08-11 21:13:29 发布
阅读量114 收藏 1
点赞数
文章标签： 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a7331077/article/details/134412542
版权

1.调试器附加促发调试进程事件，随便hook个函数，设置0xcc断点
2.oxcc断点促发异常事件，
首先恢复0xcc为最初值。通过esp可访问堆栈中数据，如esp＋8是第丨个叁数。
（注意：ebp十8不是第1个叁数，因为push ebp 和move ebp，esp未执行，ebp还在上一函数）
干完坏事后再Sleep（0），再次没置int3断点。（sleep会释放当前时间片，让被调试程度执行会，再还回当前函数，继续促发int3断点，从而又促发异常事件）

沉寂的蓝天
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
滴水逆向软件调试
若面朝大海边竹妮春暖花开的博客
10-27 1420
一、调试对象 分为两种：创建进程和附加进程 创建进程为将未运行的程序创建进程 附加进程为将运行中的进程附加 对调试器做的事 DebugActiveProcess调用了DbgUiConnectToDbg，然后调用了ntdll.dll模块中的DbgUiConnectToDbg DbgUiConnectToDbg调用ZwCreateDebugObject，进入0环，创建_DEBUG_OBJECT...
1.调试对象
My classmates
11-01 1015
将一个程序拖拽进OD中，这种方式是通过 CreateProcess() 建立联系的。 程序正在运行中通过OD附加程序，这种方式是通过 DebugActiveProcess() 建立联系的。 DebugActiveProcess执行流程 <1> kernel32！ DbaUiConnectToDbg() ntdll！ DbgUiConnectToDbg() ntdll！ ZwC...
OD调试器源码
09-18
某大神写的OD调试器源码，非常不错，可以借鉴一下，另一个里面有编译成品
Windows软件调试学习笔记（三）—— 调试事件的处理
qq_41988448的博客
07-29 1234
软件调试学习笔记（三）—— 调试事件的处理要点回顾调试事件的处理实验一：实现简单调试器（创建进程）实验二：分析异常来源实验三：实现简单调试器（附加进程）实验四：分析NtDebugActiveProcess总结 要点回顾 当调试器与被调试进程建立连接后，调试器与被调试进程关系如下图所示 被调试进程产生调试事件时，会有专门的API对调试事件进行捕获，并写入调试事件链表当中。 调试器不断检索调试事件链表，不断从调试事件链表中取出调试事件并进行处理。 调试事件的处理 调试器调试目标进程步骤： 关联（创建进程
01-调试器框架
https://www.yuque.com/onlyxiu-123com
07-03 809
如何知道程序被调试？使用是一个 Windows API 函数，用于检查当前进程是否被调试器调试。您可以在程序中调用这个函数并检查返回值，如果返回值为非零，则表示程序正在被调试器调试。使用异常处理：调试器通常会截获程序中的异常并处理它们，以便提供调试功能。您可以在程序中设置一个会引发异常的操作，例如除以零，然后在异常处理过程中检查异常是否被调试器截获。如果异常未被截获，那么程序可能正在被调试器调试。检查调试寄存器：某些调试器会使用调试寄存器（例如 DR0-DR7）来监视程序的内存访问或执行。
debug调试服务器
chencongbin5的博客
02-23 453
debug调试服务器  代码一致哦 修改bin/catalina.sh 找到   if [ -z "$JPDA_ADDRESS" ]; then     JPDA_ADDRESS="8899"   fi  把 JPDA_ADDRESS值改掉  随便改成啥 别冲突其它端口  这个和后面填写的端口保持一致    使用sh catalina.sh jpda st
Debug 调试
xiaoyuxiaoning的博客
03-05 193
Debug 调试 在 Package Explorer 视图调试 Java 程序，操作步骤如下： 鼠标右击包含 main 函数的 java 类 选择 Debug As > Java Application 该操作也可以通过快捷键来完成，快捷键组合为 Alt + Shift + D, J。 以上操作会创建一个新的 Debug Configuration（调试配置） ，并使用该配置来启动 Jav...
windows调试器的原理
08-06
- 使用`DebugActiveProcess`函数将调试器附加到一个已经运行的进程中。 2. **调试循环**：调试器进入一个无限循环，等待调试事件的发生。这个循环的基本步骤如下： - 调用`WaitForDebugEvent`函数等待调试事件的...
Windows简单调试器源码
01-11
在Windows环境中，调试器通常利用WinAPI（Windows API）中的调试接口，如DebugActiveProcess、ContinueDebugEvent等函数，来与目标进程进行交互。MyDbg的源码中，我们可以看到如何使用这些API实现调试器的核心功能。...
用易写的小小调试器，支持反汇编-易语言
06-12
很简单的一个程序调试器，调用相关API实现（DebugActiveProcess）（DebugActiveProcessStop）（WaitForDebugEvent_）（ResumeThread） 以及一些简易的数据类型： 功能简介： 调试，调试，调试。 注意，反汇编程序不是调用的BeaEngine.dll！！ 而是以前开源的一个引擎！！！（源码已经打包）
Windows平台调试器源码
05-26
【Windows平台调试器源码】是一个使用VC6.0编译环境开发的命令行用户界面（CUI）程序，主要用于Windows操作系统的调试工作。在这个项目中，开发者利用C++语言编写了各种关键功能模块，以实现对其他应用程序的深度...
debuger_api.rar_VC 调试器_debuger_调试器_调试器代码
09-20
在VC++环境中开发调试器是一项复杂且技术性强的工作，它涉及到操作系统原理、内存管理、程序反汇编、中断处理等多个领域的知识。本文将基于提供的"debuger_api.rar"压缩包中的资源，特别是"debuger_api.pdf"文档，来...
Windows Hook案例分析与技术探索
John_ToStr的博客
06-29 4350
Hook是Windows中提供的一种用以替换DOS下“中断“的系统机制，中文译为“挂钩”或“钩子”。在对 特定的系统事件进行Hook后，一旦发生已Hook事件，对该事件进行Hook的程序就会收到系统的通知， 这时程序就能在第一时间对该事件做出响应。 钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有 到达目的程序前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理 （改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。..
Win32调试API原理
hackwaly的专栏
03-26 4249
  来自《软件技术加密内幕》和chm版本不太一样 在Win32中自带了一些API函数，它们提供了相当于一般调试器的大多数功能，这些函数统称为Win32调试API（Win32 Debug API）。利用这些API可以做到加载一个程序或捆绑到一个正在运行的程序上以供调试；可以获得被调试的程序的底层信息，例如进程ID、进入地址、映像基址等；甚至可以对被调试的程序进行任意的修改，包括进程的内存、线程的
跟踪API
七七八八
07-19 2602
今天无意中发现彭春华写的一些关于跟踪API的方法，特别是调试函数的使用，惊叹! 以前居然没有发现!                                                                     跟踪监视方案概览当我们对某一目标程序进行API函数的跟踪监视分析时，根据跟踪监视的目标，基本上有以下几种途径实现对API函数的跟踪监视：  写Log记录分析 如果
win32 调试器
不会写代码的丝丽
12-12 960
概述 什么调试器？就是可以调试原程序的每行代码，在Win32提供了相关API给我们进行进行操作 1.CreateProcessA打开指定的程序，并传入对应的flag让其成为对应的调试器CreateProcessA 2.DebugActiveProcess调试特定的已经打开的程序DebugActiveProcess 3.DebugActiveProcessStop终止调试DebugActiveProcessStop 张银奎的《软件调试》是非常不错的一本书推荐 其大致原理如下： 我们大致说一下Crea
给游戏或代码增加反调试功能（应用层级）
weixin_44389943的博客
02-27 692
前言： 感谢：易道云学院 tiger老师指导： 调试分为：打开一个调试进程和调试一个现有的进程。 DebugByCreate为真时调用CreateProcess()函数打开一个调试进程，当DebugByCreate为假时调用DebugActiveProcess(dwPID)函数调试一个现有的程序。 一、调用CreateProcess()函数打开一个调试进程： 调用CreateProcess()函数实际底层调用： 二、调用DebugActiveProcess(dwPID)函数调试一个现有的程序
LLama3技术报告笔记(SFT+DPO)
最新发布
smartcat2010的博客
08-11 125
在原有的2类response基础上，加入一类edited：把人在chosen response上的修改；和经典方法效果是类似的，比经典方法的训练速度快；（经典方法：prompt和每个response分别当作1个样本，预测结果是1个分数）把prompt和2~3个response放在同一个样本里（response顺序打乱）reward model: 基于预训练模式，使用人工标注的Pair数据，得到；（output到底是什么？
壳代码的反调试操作实现
05-30
常见的反调试技术包括检测调试器、检测调试器的附加、检测调试器的子进程、检测调试器的内存读写等。下面是一个简单的反调试示例： ```c #include <Windows.h> #include <stdio.h> BOOL IsDebuggerPresentCheck() { return IsDebuggerPresent(); } BOOL CheckRemoteDebuggerPresentCheck() { BOOL bDebugged = FALSE; HANDLE hProcess = GetCurrentProcess(); CheckRemoteDebuggerPresent(hProcess, &bDebugged); CloseHandle(hProcess); return bDebugged; } BOOL NtQueryInformationProcessCheck() { BOOL bDebugged = FALSE; NTSTATUS status; PROCESS_BASIC_INFORMATION pbi; ULONG ulSize = 0; status = NtQueryInformationProcess(GetCurrentProcess(), ProcessBasicInformation, &pbi, sizeof(pbi), &ulSize); if (status == 0 && pbi.Reserved3 != 0) { bDebugged = TRUE; } return bDebugged; } BOOL DebugActiveProcessCheck() { HANDLE hProcess = GetCurrentProcess(); BOOL bDebugged = DebugActiveProcessCheck(hProcess); CloseHandle(hProcess); return bDebugged; } BOOL CheckDebugger() { if (IsDebuggerPresentCheck()) { return TRUE; } if (CheckRemoteDebuggerPresentCheck()) { return TRUE; } if (NtQueryInformationProcessCheck()) { return TRUE; } if (DebugActiveProcessCheck()) { return TRUE; } return FALSE; } void AntiDebug() { while (CheckDebugger()) { Sleep(1000); } } int main() { AntiDebug(); printf("Hello, world!\n"); return 0; } ``` 以上代码中，我们首先定义了一些函数来检测调试器，包括 IsDebuggerPresent()、CheckRemoteDebuggerPresent()、NtQueryInformationProcess() 和 DebugActiveProcess() 等函数。然后，我们实现了一个 AntiDebug() 函数，该函数会不断地检测调试器是否存在，如果存在则等待 1 秒钟后再进行检测。最后，在程序的主函数中调用 AntiDebug() 函数，确保程序在被调试时能够退出。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值