使用nanocode能不能通过dci方式调试windows的r3程序?

Not login

[165] 使用nanocode能不能通过dci方式调试windows的r3程序?

反调试
r3

asked 2020-07-02 18:49:09 +0800

3 ●2 ●7 ●12

nanocode复用的windbg的调试引擎有些命令还是不太完善,我想像windbg那样用内核调试器调试r3程序只不过试了几次都不行,那使用nanocode通过dci方式怎么去调试gdk7上的r3程序呢?我想试一下dci方式的能不能过一些程序的反调试如果可以的话,能不能举一个具体的例子?

edit retag flag offensive close merge delete

add a comment

2 Answers

Sort by » oldest newest most voted

answered 2020-07-05 10:33:01 +0800

gdman

1306 ●3 ●60 ●15

updated 2020-07-05 12:12:01 +0800

你需要的是使用内核调试会话来调试应用程序，基本的过程如下(假设你要调试的是a.exe)：
1）建立内核调试会话
2）中断下来后!process 0 0 a.exe
3）.process /i a.exe的EPROCESS地址
4）g一下,会自动再中断
5）.reload /user
6) 根据需要设置断点
7）断点命中后做更多分析