最后一次异常的原理和走出异常的方法及IAT的修复问题。
2017-02-05 23:42
411 查看
对于最后一次异常,在脱壳中用得挺多,但是对于为什么它能脱壳,以前还是有点疑问的。。。 首先,对于这种方法,我想应该从壳的角度出发来说说,壳通过某种方法,在程序运行之前,拿到控制权, 怎么样拿到它的控制权呢? 我想:应该是 INT 3 , 当然还有一些其他的方法,想一些 调试器的函数, SDK 和 WDK 里面可以去查到的, 最近开始设计一些驱动方面的东西,才知道ring 0 , 是多么的强大,哦,回到正题。。。 当中断下来之后。。 对程序的PE 进行处理,当然处理的方法很多,包括 压缩个节表的东西,对 IAT 处理,加入花指令,哦,花指令 大量的用于对 调试器的检查,pushaf ... popaf , 这是一组产生异常的常用的方法,当然方法很多。。 说了很多,当处理完之后的最后一次异常,壳将会把控制权交换给应用程序, OEP ,也就不远了。。。 说一下跑出异常的方法吧: 三种: 1: 当遇到 SEH 的异常时: 可以当开 view --> seh line ---> 在 seh 下断点,运行就跑出来了。。 2: 可以在 seh handle 出反汇编跟随,就会来到出口,在出口下段,记住此时的代码可能会乱序,这是 作者防止解密的行为,我们可以通过 shift + 箭头 来查看代码。。之后 ,shift + F9运行,就 O 了 注释:2中如果在在程序的领空,是不能在反汇编窗口跟随的。。。 3:在 ZwContion---> ecx + 0xb8 ---这就是异常的出口; 可以在 vc 中查看这个函数的用法: 如果我没有记错; ZwContion(void *);
相关文章推荐
- 最后一次异常的原理和走出异常的方法及IAT的修复问题。
- 关于laravel5.5控制器方法参数依赖注入原理深度解析及问题修复
- 对于WSS里权限异常问题的解决方法
- 修复winsock 的方法(装了网络监视软件后,老出现winsock改写的问题)
- 用javascript修复浏览器中头痛问题的方法整理篇[译]第1/4页
- 一次修复电脑的奇怪方法---解决电脑自动休眠问题
- 解决DocType引起AjaxTookit的ModulPopup显示异常问题的方法
- 添加/删除程序空白窗口及控制面板窗口显示异常问题的解决方法
- 脱壳时快速定位“最后一次异常”的方法
- Tomcat中文乱码问题的原理和解决方法
- 修复VS2005(Visual Studio2005)调试自动关闭问题[成功方法!]
- Tomcat中文乱码问题的原理和解决方法
- 添加/删除程序空白窗口及控制面板窗口显示异常问题的解决方法
- Tomcat中文乱码问题的原理和解决方法
- [原创]修复VS2005(Visual Studio2005)调试自动关闭问题[成功方法!]
- IE终于修复好了,原理是COM的问题
- Tomcat中文乱码问题的原理和解决方法
- 最全的硬盘问题及修复方法
- Tomcat中文乱码问题的原理和解决方法