Коллеги, подскажите: есть софтина, которая в качестве противодействия из

Question

Коллеги, подскажите: есть софтина, которая в качестве противодействия из

под себя запускает exe, который изображает из себя отладчик и в процессе отладки проверяет целостность основного процесса.

В системе может быть только один отладчик, при попытке приаттачиться к процессу- получаю сообщение от ядра, что только один может процесс отлаживать.

Как бы мне к процессу присоединиться? В контексте процесса могу через dll hijacking запустить свою dll. Если я из своей dll вызову exe-шник x64dbg- смогу ли попасть в контекст процесса и соответственно поотлаживаться?

#assembler #programming #russian

0

18.10.2021

11 ответов

22 просмотра

maplum Автор вопроса

Sergei Zhmylove
Подменить exe на /bin/true ?

И написать с ноля софтину. Пока не готов тратить столько времени

0

18.10.2021

Rusty Shackleford

ты немного каналом ошибся, тебе бы в r0 какой @r0crew_bot

0

18.10.2021

maplum Автор вопроса

Rusty Shackleford
ты немного каналом ошибся, тебе бы в r0 какой @r0c...

Не ошибся, ассемблер- основа реверса

0

18.10.2021

Chen Wenqing🇨🇳

мы тебе не астрологи, хотя бы скинул бы части/бинарь. по поводу присобачивать динамической либы, вызывающей дебаггер, разве там нет встроенных счётчиков/ проверки режима запуска? На самом деле очень мало вводных. Никаких механизмов , кусков кода, вообщем, ничего не видно. Может ты ещё что-то упустил при анализе.

0

18.10.2021

maplum Автор вопроса

Chen Wenqing🇨🇳
мы тебе не астрологи, хотя бы скинул бы части/бина...

Вечером технику применения скину

0

18.10.2021

disba1ancer

отлаживай отладчик...

0

18.10.2021

maplum Автор вопроса

disba1ancer
отлаживай отладчик...

Хороший вариант, но м.б есть способы без такого геморроя? Если я запущу из собственной dll отладчик, попадет ли он в контекст процесса?

0

18.10.2021

disba1ancer

maplum
Хороший вариант, но м.б есть способы без такого ге...

если не пытаешься приатачится к уже запущенному, то можно запустить процесс приостановленным и приатачить к нему отладчик, пока он свою бяку не запустил

0

18.10.2021

maplum Автор вопроса

disba1ancer
если не пытаешься приатачится к уже запущенному, т...

А если изнутри запущенного процесса стартовать отладчик?

0

18.10.2021

disba1ancer

maplum
А если изнутри запущенного процесса стартовать отл...

скорее всего система не даст, тебе в любом случае надо как-то опередить запуск чужого отладчика, либо сломать его потом

0

18.10.2021