18、恶意二进制文件调试指南

恶意二进制文件调试指南

1. 调试恶意 DLL 之 x64dbg 篇

1.1 调试恶意 DLL 的基本方法

要使用 x64dbg 调试恶意 DLL，可按以下步骤操作：
1. 以管理员权限启动 x64dbg，通过“File | Open”加载 DLL。加载时，x64dbg 会在 DLL 所在目录生成一个名为 DLLLoader32_xxxx.exe 的可执行文件，它将作为通用宿主进程来执行 DLL。
2. 加载 DLL 后，调试器可能会在系统断点、TLS 回调或 DLL 入口点函数处暂停，具体取决于配置设置。若取消“System Breakpoint”和“TLS callback”选项，加载 DLL 时执行将在其入口点暂停，此时就可像调试其他程序一样调试该 DLL。

1.2 使用 rundll32.exe 调试 DLL

以调试名为 rasaut.dll 的恶意 DLL 为例：
1. 通过“File | Open”从 system32 目录加载 rundll32.exe 到调试器，调试器会在系统断点或 rundll32.exe 的入口点暂停。
2. 选择“Debug | Change Command Line”，指定 rundll32.exe 的命令行参数（即 DLL 的完整路径和导出函数），然后点击“OK”。
3. 选择“Breakpoints”选项卡，在“Breakpoints”窗口内右键单击，选择“Add DLL breakpoint”，在弹出的对话框中输入 DLL 名称（如 rasaut.dll），这会让调试器在加载该 DLL 时中断。
4. 配置好设置后关闭调试器，重新打开并再次加载 r