1.调试对象

最新推荐文章于 2024-03-05 12:00:00 发布
最新推荐文章于 2024-03-05 12:00:00 发布
阅读量1.1k 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： 软件调试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_42052102/article/details/83624513
本文介绍了DebugActiveProcess在附加到已运行程序时的执行流程，从kernel32!DbaUiConnectToDbg到ntdll!DebugActiveProcess，详细阐述了如何通过DebugActiveProcess建立调试联系，并探讨了防守方和攻击方的应对策略，如Hook函数和修改DebugPort等。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

在这里插入图片描述

将一个程序拖拽进OD中，这种方式是通过 CreateProcess() 建立联系的。

程序正在运行中通过OD附加程序，这种方式是通过 DebugActiveProcess() 建立联系的。

DebugActiveProcess执行流程

<1> kernel32！ DbaUiConnectToDbg()

  1. ntdll！ DbgUiConnectToDbg()
  2. ntdll！ ZwCreateDebugObject()
  3. ntoskrnl！ NtCreateDebugObject()

<2> kerel32！ DbgUiDebugActiveProcess(被调试进程句柄)

  1. ntdll！ DbgUiDebugActiveProcess(被调试进程句柄)
  2. ntdll！ DebugActiveProcess(被调试进程句柄调试器进程TEB+0xF24)
  3. ntdll！ DebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle)

在这里插入图片描述
在这里插入图片描述

打开ntdll

最低0.47元/天 解锁文章

200万优质内容无限畅学
滴水逆向软件调试
若面朝大海边竹妮春暖花开的博客
10-27 1554
一、调试对象 分为两种：创建进程和附加进程 创建进程为将未运行的程序创建进程 附加进程为将运行中的进程附加 对调试器做的事 DebugActiveProcess调用了DbgUiConnectToDbg，然后调用了ntdll.dll模块中的DbgUiConnectToDbg DbgUiConnectToDbg调用ZwCreateDebugObject，进入0环，创建_DEBUG_OBJECT...
Windows Hook案例分析与技术探索
John_ToStr的博客
06-29 5973
Hook是Windows中提供的一种用以替换DOS下“中断“的系统机制，中文译为“挂钩”或“钩子”。在对 特定的系统事件进行Hook后，一旦发生已Hook事件，对该事件进行Hook的程序就会收到系统的通知， 这时程序就能在第一时间对该事件做出响应。 钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有 到达目的程序前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理 （改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。..
调试对象搞错了
weixin_30565327的博客
02-04 68
调试A，右键，打开A的源程序，修改，怎么就是不对，！原来应该调试A，而不是他的程序！！！ 网页 转载于:https://www.cnblogs.com/syshy/archive/2009/02/04/1383894.html...
寻找调用DebugPort的函数
weixin_34319111的博客
11-09 183
打开虚拟机，打开一个程序。如LoadSys.exe 之后本机打开Windbg通过串行端口连接虚拟机。 lkd->!process00LoadSys.exe 得到LoadSys.exe的EPROCESS地址如。0x87654321 lkd->bar40x87654321+0xec（WIN7上DebugPort偏移为0xec...
DEBUG OBJECT key
weixin_33736649的博客
03-01 483
DEBUG OBJECT是一个不应该被客户端使用的调试命令。 请参考OBJECT命令 simple-string-reply 本文作者：陈群 本文来自云栖社区合作伙伴rediscn，了解相关信息可以关注redis.cn网站。 ...
学习自建调试体系（五）
weixin_30471065的博客
04-20 457
重载内核 具体代码有点长，记下思路备查。大致思路： NT内核从磁盘装载到内存 重定位 修复导入表 修正内核SSDT 删除PE头 接下来hook kifastcallEntry函数，用的方法也和之前的重载内核那篇代码分析的方法一致，就不分析了。 转载于:https://www.cnblogs.com/Lnju/p/5414730.html...
Windows软件调试学习笔记（一）—— 调试对象
lzyddf的博客
07-01 1337
软件调试学习笔记（一）—— 调试对象
01-调试器框架
https://www.yuque.com/onlyxiu-123com
07-03 1024
如何知道程序被调试？使用是一个 Windows API 函数，用于检查当前进程是否被调试器调试。您可以在程序中调用这个函数并检查返回值，如果返回值为非零，则表示程序正在被调试器调试。使用异常处理：调试器通常会截获程序中的异常并处理它们，以便提供调试功能。您可以在程序中设置一个会引发异常的操作，例如除以零，然后在异常处理过程中检查异常是否被调试器截获。如果异常未被截获，那么程序可能正在被调试器调试。检查调试寄存器：某些调试器会使用调试寄存器（例如 DR0-DR7）来监视程序的内存访问或执行。
Win32调试API原理
hackwaly的专栏
03-26 4401
  来自《软件技术加密内幕》和chm版本不太一样 在Win32中自带了一些API函数，它们提供了相当于一般调试器的大多数功能，这些函数统称为Win32调试API（Win32 Debug API）。利用这些API可以做到加载一个程序或捆绑到一个正在运行的程序上以供调试；可以获得被调试的程序的底层信息，例如进程ID、进入地址、映像基址等；甚至可以对被调试的程序进行任意的修改，包括进程的内存、线程的
软件调试基础
qq_18811919的博客
07-12 1536
作为一个程序员必须对软件调试的过程有一个基本的认识。
Kernel-Anit-Anit-Debug-Plugins:内核Anit Anit调试插件内核反反调试插件
03-08
AA调试 内核反反调试插件内核Anit-Anit-Debug插件 语言 英文（翻译自 ） 调试开始时，将创建一个称为“调试对象”的内核对象。 调试开始时，将创建一个称为“调试对象”的内核对象 通过重写 NtDebugActiveProcess DbgkpQueueMessage KiDispatchException DebugActiveProcess DbgUixxx 等函数绕过调试对象（Process-> DebugObject）以及其他关键位置实现反反调试效果 目前已实现 目前已实施 内核绕过DebugPort 内核bypss DebugPort 应用层绕过DbgUiDebugObjectHandle（NtCurrentTeb（）-> DbgSsReserved [1]） R3绕过DbgUiDebugObjectHandle（NtCurrentTeb（）-> DbgSsRese
给游戏或代码增加反调试功能（应用层级）
weixin_44389943的博客
02-27 859
前言： 感谢：易道云学院 tiger老师指导： 调试分为：打开一个调试进程和调试一个现有的进程。 DebugByCreate为真时调用CreateProcess()函数打开一个调试进程，当DebugByCreate为假时调用DebugActiveProcess(dwPID)函数调试一个现有的程序。 一、调用CreateProcess()函数打开一个调试进程： 调用CreateProcess()函数实际底层调用： 二、调用DebugActiveProcess(dwPID)函数调试一个现有的程序
windows下的反调试探究——原理
最新发布
星星我啊，已经很努力在学习了， 有人一起学习吗？Ziansec-1
03-05 639
首先调试器进程先创建一个结构放到TEB的0xF24处，存储的是结构的句柄，然后在被调试程序EPROCESS的DebugPort的地方存储结构的地址，然后通过调用进行调试事件的采集，把句柄放到结构，供调试器使用那么了解了调试器和被调试器之间如何建立连接，我们就可以通过以下几种方式来进行反调试1.不断将EPROCESS的DebugPort清零，使调试器不能够和被调试程序建立连接2.遍历每个线程TEB的0xF24，如果存在值就证明有调试器3.要想建立连接必须要在0环创建结构，使用，直接hook。
r3反调试
liuhaidon1992的博客
01-08 2325
R3反调试方法非常多，且充斥着各种猥琐的方法。 1.调用API反调试 IsDebuggerPresent：它查询PEB中的IsDebugged标志 CheckRemoteDebuggerPresent：这个函数将一个进程句柄作为参数，检查这个句柄对应的进程是否被调试器附加 NtQueryInfomationProcess：它用来提取一个给定进程的信息。第一个参数是进程的句柄，第二个参数告诉我们它...
Windows内核分析——内核调试机制的实现（NtCreateDebugObject、DbgkpPostFakeProcessCreateMessages、DbgkpPostFakeThreadMes...
weixin_30622181的博客
03-31 560
本文主要分析内核中与调试相关的几个内核函数。 首先是NtCreateDebugObject函数，用于创建一个内核调试对象，分析程序可知，其实只是一层对ObCreateObject的封装，并初始化一些结构成员而已。 我后面会写一些与window对象管理方面的笔记，会分析到对象的创建过程。 来自WRK1.2 NTSTATUS NtCreateDebugObject ( OUT P...
逆WIN7X64内核调试体系之NtDebugActiveProcess
落笔飞花笑百生的博客
09-27 4052
NTSTATUS __fastcall proxyNtDebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle){         PMY_OBJECT_TYPE object;         PMY_OBJECT_TYPE debugobject;         OBJECT_HANDLE_INFORMATION
初探Windows用户态调试机制
weixin_30587927的博客
07-19 169
我们在感叹Onlydbg强大与便利的同时，是否考虑过它实现的原理呢？ 作为一个技术人员知其然必知其所以然，这才是我们追求的本心。 最近在学习张银奎老师的《软件调试》，获益良多。熟悉Windows调试机制，对我们深入理解操作系统以及游戏保护的原理有着莫大好处。 0X01 初探调试原理 调试系统的实现思路如图所示： 调试器与被调试程序建立联系，程序像调试器发送调试信息...
Windows反调试技术参考
子曰小玖的博客
01-08 1397
http://blog.chinaunix.net/uid-29068508-id-3845270.html 本文主要面向逆向工程师和恶意程序分析人员，分类并列举了一些基于Windows操作系统的反调试技术。 反调试技术给程序提供了检测自身是否运行在调试器下的方法，所以经常被商业性质的可执行文件保护器、加壳程序，甚至恶意程序用来保护或者减缓逆向工程的过程。在本文中，我们假设所有的程序都是在Rin...
VSCode中Node.js调试器launch.json配置全解析
配置文件是一个JSON对象，其中可能包含多个配置项，每个配置项都是一个对象，用于表示一种特定的调试环境或调试会话。 2. 配置项的类型：launch.json中的配置项大致可以分为两种类型，即“launch”类型和“attach”...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值