寻找Windows API 原始字节（x64dbg）

最新推荐文章于 2025-08-09 20:37:38 发布
原创 最新推荐文章于 2025-08-09 20:37:38 发布 · 648 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows #网络安全

本文介绍了如何在x64dbg中通过两种方法寻找和定位`CreateRemoteThreadEx`函数：一是通过命令行调用，二是利用调试器附加到kernelbase.dll并使用符号选项卡进行搜索。

首先我们将我们的木马移入x64dbg

第一种方法

通过命令寻找

disasm CreateRemoteThreadEx

在这里插入图片描述

第二种方法

将调试器附加到kernelbase.dll后转到符号选项卡，最后，在搜索栏中，我们可以搜索CreateRemoteThreadEx函数并双击它以获取下列：
在这里插入图片描述
在这里插入图片描述

Linux Kernel 之九 详解 Firmware API 架构、源码、执行流程
技术干货
04-18 6324
现在，很多外设（例如，网卡、显卡等等）为了实现复杂的功能都会有一个简单的存储芯片，用于存放一个可以独立运行的固件，以此来提供一些高级功能。在 Linux Kernel 中提供了 Firmware API 这个功能来负责管理各种固件，今天就来学习一下这个功能。
X64dbg插件跳转记录-追踪跨模块CALL自定义命令行API批量分类下断
01-20
X64dbg插件跳转记录_追踪跨模块CALL自定义命令行API批量分类下断
【软件逆向学习记录】x64dbg调试器入门2：主调试窗口功能及字符串搜索功能介绍
tusikong的博客
08-09 2646
在x64dbg中， ​​CPU视图 是调试过程中最核心的界面，通常被称为​​主调试窗口​​或​​调试视图​​，总体分为四个区域，代码区（反汇编），数据区（内存窗口），寄存器区和堆栈区，详细位置如下图：示例数据代码区最左侧为内存地址，第二块区域为程序代码值，原始程序代码经编译和汇编后变为二进制机器码存储在计算机中，调试器将其展示为易于阅读的十六进制，第三块区域是机器码反汇编后的汇编代码，最右侧为代码的注释窗口，有一些原始的注释，也可以自己添加注释PS：汇编和反汇编解释。
x64dbg 搜索多条指令 ( find sequence of commands )
hambaga的博客
04-30 4631
和 OD 不同，x64dbg没有提供 find sequence of commands 功能，要想搜索多条指令，可以用特征码匹配来代替。 比如，搜索两条指令 可以右键选择搜索–当前区域–匹配特征，把两条指令的字节码填入搜索即可。 ...
【亲测免费】 x64dbg支持中文搜索的插件：x64dbg_tol
gitblog_06759的博客
04-21 825
x64dbg支持中文搜索的插件：x64dbg_tol 【下载地址】x64dbg支持中文搜索的插件x64dbg_tol x64dbg_tol是一款专为x64dbg调试器设计的中文搜索插件，旨在提升用户在逆向工程和调试过程中的效率。通过该插件，用户可以直接在x64dbg中使用中文进行搜索，解决了以往仅支持英文搜索的局限性。无...
x64dbg Tol：让调试更高效的中文搜索插件
gitblog_06752的博客
05-24 1316
x64dbg Tol：让调试更高效的中文搜索插件 【下载地址】x64dbg支持中文搜索的插件x64dbg_tol x64dbg_tol是一款专为x64dbg调试器设计的中文搜索插件，旨在提升用户在逆向工程和调试过程中的效率。通过该插件，用户可以直接在x64dbg中使用中文进行搜索，解决了以往仅支持英文搜索的局限性。无论是...
4.3 x64dbg 搜索内存可利用指令
热门推荐
优快云
07-07 1万+
发现漏洞的第一步则是需要寻找到可利用的反汇编指令片段，在某些时候远程缓冲区溢出需要通过类似于jmp esp等特定的反汇编指令实现跳转功能，并以此来执行布置好的ShellCode恶意代码片段，LyScript插件则可以很好的完成对当前进程内存中特定函数的检索工作。在远程缓冲区溢出攻击中，攻击者也可以利用汇编指令jmp esp来实现对攻击代码的执行。该指令允许攻击者跳转到堆栈中的任意位置，并从那里执行恶意代码。
使用x64dbg 定位到样本2执行“WinExec”代码
07-10
2. **Hook 检测**：检查是否被恶意软件 `inline hook`（对比 `WinExec` 的原始字节与当前代码）。 3. **行为监控**：使用 **x64dbg 的 Trace**（`Trace → Run Trace`）记录执行流程。 --- ### **示例截图** ![x64...
【x64dbg注入技术：DLL注入与执行流程实战】
文章详细介绍了DLL注入的主要方法，如API挂钩、CreateRemoteThread和SetWindowsHookEx，并进一步指导如何利用x64dbg工具和手动操作进行DLL注入。深入分析了注入后的执行流程、稳定性和安全性问题，以
如何对 PyInstaller 加密打包的 `.exe` 文件进行内存分析以提取原始字节码？
最新发布
08-23
通过调试器（如 **x64dbg** 或 **OllyDbg**）对运行中的 PyInstaller 程序进行动态分析，可以捕获其在内存中解密 `.pyc` 文件的时刻。结合 **API Hook** 技术，可以拦截 Python 解释器加载 `.pyc` 文件的函数调用...
加密与解密 调试篇（一）
weixin_37665575的博客
10-08 862
加密与解密 调试篇（一） 文章目录加密与解密 调试篇（一）前言调试器原理笔记调试技术概览断点单步执行输出调试信息日志事件追踪栈回溯《Python灰帽子》软断点硬件断点内存断点 前言 现在开始对《加密与解密》第二篇的内容开始学习回顾。第二部分被称为“调试篇”，从内容上看主要涵盖对常见调试器与反编译器的介绍与使用。根据自己的计划，在每部分把涉及的常见工具进行复习回顾，对使用不熟练的工具进行重点学习，对这些工具背后的技术原理进行学习剖析。原理剖析方面目前应该不会进行很深，一是自己积累达不到，二是自己也是在熟悉学习
ClawSearch：X64dbg的超级增强器，记忆扫描的新纪元
gitblog_00081的博客
05-26 680
ClawSearch：X64dbg的超级增强器，记忆扫描的新纪元 项目介绍 在游戏修改与逆向工程的世界里，有一款名为ClawSearch的神器正悄然升起。它，作为x64dbg的强大插件，宛如注入了作弊引擎的灵魂，为程序调试和内存分析带来了全新的可能性。一张简洁而直观的截图已经足够让人对它的潜力充满遐想。 项目技术分析 ClawSearch设计精妙，专为追求效率与精度的开发者和逆向工程师打造。基于...
dbg 寻找main函数
eli的博客
10-25 2367
方法一，3个push和堆栈平衡 push edi push esi push dword ptr ds:[eax] call project1.D31040 add esp,C 如上，因为main函数的参数是3个，所以，在调用main函数之前一定会有3个参数入栈。 调用main函数后，要平栈，就需要add esp,C 这也是一个main函数的标志。 1，3个入栈 2，调用call--------main函数 3，栈顶指针+C 方法二，xxx ...
X64dbg 最新版(2024.06)搜索中文字符串显示乱码的问题
donglxd的博客
09-08 1万+
大家如不想在我的csdn上下载，也可以从吾爱论坛的链接的安装包里自行提取或直接安装程序。搜索了下x64dbg的github，发现x64dbg的内置字符串搜索工具只能识别ANSI和UNICODE码，至于其他的解析工作，x64dbg的作者希望由各国的x64dbg爱好者编写自己的插件处理。上面的链接是x64dbg_tol插件的网上能找到的比较新的版本，可以用在x64dbg的2023.09.02这个版本的上，我想之前的版本也是兼容的，本人不才，没有找到lynnux编写的插件的单独链接，而是提取自吾爱论坛。
逆向学习X64DBG
weixin_43910988的博客
04-28 2752
然后点击确定，我们可以看到有四个地址。这里边其中有一个就是我们要找的，所以我们可以选择都试一试，然后总可以试出来哪个地址是真实保存的名称。使用X64dbg可以快速搜索游戏人名，所以本次逆向使用该工具进行工作。现在我们想改成：源氏物语。，然后我们使用右键->二进制->编辑。我们可以看到 源氏物语 在内存里边已经改好了。输入中文，然后改成源氏物语。附加后，选择shadowFlare。目的：更改玩家名称（中文名称）右键， 点击 "查找特征码"然后搜索 “平家物语”原来的名字：平家物语。使用方法：双击一个地址。
x64dbgpy安装及动态函数名称获取
yan_star的博客
02-04 2543
背景： 在分析一些大家族病毒样本核心层时（如：Emotet、LokiBot等）经常会发现它们的导入函数很少，需要用哪个函数时，都是根据函数名称hash动态获取的。此类特征也可以作为一个启发查杀点，日后有空再谈！通常遇到这种情况我们想要知道调的是哪个api，都是动态调试过去看下，但是那么多加密的函数名称，总不能动态一个一个过去看，然后手动在ida上标明，毕竟动态分析相比于静态分析还是比较耗时的，那么有什么办法可以跑一次样本，然后获取我们所需的所有api函数名称，以及对应地址呢？有了这个log的话，我们就可以
X64dbg-插件开发-导出函数-导出功能-回调导出的函数和结构
插件开发
05-11 910
1.pluginit 导出函数   pluginit是 x64dbg 在加载动态链接库（.dp32或.dp64）后调用的第一个导出函数，如果pluginit不存在，则此时插件加载将失败。pluginit将指向PLUG_INITSTRUCT结构的指针作为函数中的唯一参数传递：initStruct。此结构用于向 x64dbg 注册插件并获取有效的插件句柄，以便在未来的 api 调用中使用。 PLUG_INITSTRUCT结构定义： typedef struct { //provided by the d
【亲测免费】 推荐开源项目：x64dbg插件Api Break——你的API调试利器
gitblog_00073的博客
06-09 1592
推荐开源项目：x64dbg插件Api Break——你的API调试利器 1、项目介绍 在复杂的软件调试中，尤其是在处理Win32/64应用程序时，定位API调用的入口和调用者是一项挑战。Api Break 是一款专为x64dbg设计的强大插件，旨在简化这一过程，让你轻松设置API调用断点。 通过直观的图形界面，Api Break 提供了两种功能模式：API函数入口断点（AEB）和断点在API调用者...
C/C++逆向：x96dbg(x64dbg/x86dbg)的使用
WolvenSec的博客
08-19 4427
这篇文章主要来说一下x96dbg(x64/x86)的基本使用，这里还是使用上篇文章中的简单程序用来作为本篇文章的实例，因为上篇文章再生成程序时选用的解决方案平台为x86所以生成的程序则需要我们使用x32dbg来进行分析。这边与IDA一样，我们可以将程序拖到图标上。此时x32dbg就会自动针对该程序进行加载，接下去我们就可以进行调试了。在加载完成后可以看到调试器下方显示。这个系统断点通常指的是调试器在程序启动时自动设置的第一个断点，也称为断点。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值