整 - Powered by phpwind

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	阅读：2106回复：19 整楼主^# 更多只看楼主倒序阅读发布于：2002-07-15 10:09 在win32下, 整
	喜欢1 最新喜欢： xiangs... 回复

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

沙发^#

发布于：2002-07-15 10:22

1，还是int 3
2，IsDebuggerPresent函数及其它技巧
3，网上很多方法啊，比如CreateFile之类的

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	板凳^# 发布于：2002-07-15 10:26 比如softice斤一段程序下了很多
	回复(0) 喜欢(0)

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

地板^#

发布于：2002-07-15 10:36

[quote]比如softice斤一段程序下了很多

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	地下室^# 发布于：2002-07-15 10:43 在代码中下的一般都是int 3，就是在断点的地方把一个字节换为int 3，如果是在内存数据上下断点，则用调试寄存器，Dr0-Dr4 感著! 那
	回复(0) 喜欢(0)

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

5楼^#

发布于：2002-07-15 10:48

[quote]
感著!
那

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	6楼^# 发布于：2002-07-15 10:52 我明白了! Thank you!
	回复(0) 喜欢(0)

Nouk

驱动中牛

注册日期2001-08-22
最后登录2006-10-22
粉丝0
关注0
积分0分
威望0点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

7楼^#

发布于：2002-07-15 11:06

1，还是int 3
2，IsDebuggerPresent函数及其它技巧
3，网上很多方法啊，比如CreateFile之类的

4.SoftICE Backdoor Interrupt in 9x:P

Taiwan's Driver Developer

回复喜欢

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

8楼^#

发布于：2002-07-15 11:08

[quote]1，还是int 3
2，IsDebuggerPresent函数及其它技巧
3，网上很多方法啊，比如CreateFile之类的

4.SoftICE Backdoor Interrupt in 9x:P [/quote]
是啊，还有别的方法，不过贫僧没有仔细研究过。
我觉得在病毒里检查SoftIce不是很好的，因为可能一个人装了SI只是为破解，结果病毒以为他也是AVer，那就误会了 :( :( :(

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

andrews13 驱动牛犊注册日期2002-06-28 最后登录2013-05-01 粉丝0 关注0 积分2分威望27点贡献值0点好评度7点原创分0分专家分0分加关注写私信	9楼^# 发布于：2002-07-15 11:10 [quote][quote] 感著! 那
	回复(0) 喜欢(0)

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

10楼^#

发布于：2002-07-15 11:12

//===============[0 0]====================================
0
使用CRC好象不怎么有用的了（对于有经验的）
使用堆栈校验法和它（CRC）结合起来，才是上策。
//==============[KILL]===================================

其实反跟踪有很多技巧可以挖掘的，不过贫僧进入Win32时代以后对反跟踪基本不研究了 :( :( :(

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	11楼^# 发布于：2002-07-15 11:32 在代码中下的一般都是int 3，就是在断点的地方把一个字节换为int 3，如果是在内存数据上下断点，则用调试寄存器，Dr0-Dr4 又有
	回复(0) 喜欢(0)

andrews13 驱动牛犊注册日期2002-06-28 最后登录2013-05-01 粉丝0 关注0 积分2分威望27点贡献值0点好评度7点原创分0分专家分0分加关注写私信	12楼^# 发布于：2002-07-15 11:40 [quote]在代码中下的一般都是int 3，就是在断点的地方把一个字节换为int 3，如果是在内存数据上下断点，则用调试寄存器，Dr0-Dr4 又有
	回复(0) 喜欢(0)

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	13楼^# 发布于：2002-07-15 11:50 玩堆栈游戏（就可以解决――（插入INT 03断点机器码的方法）什
	回复(0) 喜欢(0)

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

14楼^#

发布于：2002-07-15 12:45

[quote]
又有

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	15楼^# 发布于：2002-07-15 12:57 高明的方法.Thank you !
	回复(0) 喜欢(0)

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

16楼^#

发布于：2002-07-15 13:07

高明的方法.Thank you !

高明？最传统的int 3的用法啊

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

VanCheer

驱动老牛

注册日期2002-02-21
最后登录2003-08-28
粉丝0
关注0
积分-20分
威望-10点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

17楼^#

发布于：2002-07-15 13:09

who are you施主，你是不是误会了
int 3以后要继续执行的话，还得把那个pushad放回去，成了
mov eax,30h
push eax
add ebx,eax
pusha
sub ecx,edx
任何指令都可以被在第一个字节处插入int 3，贫僧这里用一个单字节指令，只不过为了书写方便而已

[img]http://www.driverdevelop.com/forum/upload/VanCheer/2003-03-21_mon.gif[/img][img]http://www.driverdevelop.com/forum/upload/VanCheer/2002-12-07_smallbaby.jpg[/img]

回复喜欢

escape 驱动老牛注册日期2002-02-01 最后登录2004-08-20 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	18楼^# 发布于：2002-07-15 14:02 who are you施主，你是不是误会了 int 3以后要继续执行的话，还得把那个pushad放回去，成了 mov eax,30h push eax add ebx,eax pusha sub ecx,edx 任何指令都可以被在第一个字节处插入int 3，贫僧这里用一个单字节指令，只不过为了书写方便而已也就是真,先修改然後再恢
	回复(0) 喜欢(0)

Nouk

驱动中牛

注册日期2001-08-22
最后登录2006-10-22
粉丝0
关注0
积分0分
威望0点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

19楼^#

发布于：2002-07-15 14:07

[quote] who are you施主，你是不是误会了
int 3以后要继续执行的话，还得把那个pushad放回去，成了
mov eax,30h
push eax
add ebx,eax
pusha
sub ecx,edx
任何指令都可以被在第一个字节处插入int 3，贫僧这里用一个单字节指令，只不过为了书写方便而已

也就是真,先修改然後再恢

Taiwan's Driver Developer

回复喜欢

您需要登录后才可以回帖，登录或者注册

整

最新喜欢：