windbg停在无符号驱动的DriverEntry(WIN10)

第一步:获取需要调试驱动名字(360SelfProtection.sys)。

第二步:搭建“VM+windbg”双机调试环境

第三步:在宿主机windbg中输入:sxe ld 360SelfProtection.sys(注;sxe 当发生该异常时,在任何错误处理器被激活之前目标立即中断到调试器中。ld;Load Module.指令参考链接:http://www.cnblogs.com/guanlaiy/archive/2012/12/18/2822920.html)。输入指令G,让系统运行起来。一会将会中断。


第四步:输入lm,显示中断时系统加载的模块。可以看到,系统在加载360SelfProtection时,windbg 中断下来了。

第五步:输入命令lmDvm360SelfProtection,查看360SelfProtection的详细信息。将start下的地址记下。该地址为模块的加载基址。

第六步:根据PE结构计算出,驱动入口地址。BaseAddress+poi(poi(BaseAddress+0x3c)+BaseAddress+0x28)

第七步:输入指令g。使系统继续指令。系统断在该驱动模块的入口地址处



  • 2
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 3
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值