windbg 调试堆时 遇到调试堆 baadfood feeefeee 关闭方法

用windbg 调试堆时,遇到了一些问题。
我发现堆的末尾都是以 8ab + 800 结尾的。而且删除的堆内容被填充为 feeefeee , 而那些新申请没有初始化的堆,则被填充为 baadfood 。
这是因为系统检测到了调试器,堆管理器自动使用了调试堆。即便你使用attach 也是一样的。

查了一下,一些人用了和0day安全一样的方法,就是在程序中加 int 3 断点,然后在堆完成初始化后进行调试,这样就可以避免创建堆时使用调试堆 。但很明显这不是专业的方法。

要避免调试堆的使用 微软已经给出了方法, 你可以使用 windbg -hd 启动调试(比如 windbg -hd calc.exe),但这种对于attach 调试的方式 好像不太合适。 所以也可以 设置环境变量 _NO_DEBUG_HEAP 。 也可以禁止使用调试堆。

详细的信息可以直接查询msdn

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值