Comments on: Niewidzialny breakpoint

By: Krzywy

Krzywy — Mon, 22 Feb 2010 10:29:21 +0000

Też się z czymś takim spotkałem. Możliwe, że masz hw bp ustawione których nie widać podczas debugowania kodu. Albo jakiś inny plugin typu RL!APIFinder który również wstawia niewidzialne bp na api. Dobre na antidebugi

By: bartek

bartek — Sat, 20 Feb 2010 16:55:25 +0000

Nie dało mi to spać, faktycznie był plik .UDD zrobiony i mimo, że breakpointy były usunięte, to każdorazowe włączenie phant0m-a powodowało, że breakpointy na nowo pojawiały się na liście za każdym razem, dzięki panie hyhyhy za sugestie.

By: hyhyhy

hyhyhy — Sat, 20 Feb 2010 00:37:36 +0000

hmmm luknalem szybko na phantoma 1.20 i 1.54 nie widze nic co by wstawialo breakpointy na te APIsy; po odpaleniu w czystym olku (tylko olek i phantom), wlaczeniu wszystkich opcji phantoma, restarcie, i zaladowaniu i uruchomieniu procesu nie widac w gmerze zadnych patchow na tych apisach (tj. MessageBox/Ex/A/W); widac sporo patchow w kernelu (extrem.sys i rdtsc.sys), ukryty proces olka, oraz phantomowe patche na antiantidebuggach w userlandzie (ntcontinue, blockinput, gettickcount,kiuserexceptionpatcher,itd.);

nie miales jakichs starych bp na tych APIsach zapisanych w udd?

By: bartek

bartek — Thu, 18 Feb 2010 11:14:49 +0000

Prawda jak zwykle leży pośrodku – po aktywacji plugina phant0m ten po cichaczu wrzuca breakpointy na cala rodzinke MessageBox/Ex/A/W oraz inne api (GMER to ladnie pokazuje).

By: hyhyhy

hyhyhy — Thu, 18 Feb 2010 10:37:21 +0000

to nie wina plagina; masz software bp (0xCC) na MessageBoxA; olek zawsze pokazuje falszywa zawartosc spaczowanej przez siebie pamieci, ale nie potrafi oszukac instrukcji, ktore sie do tej pamieci odwoluja

By: finamo

finamo — Wed, 17 Feb 2010 21:02:43 +0000

Bo kolejny plugin do olka cos pierd…. A na serio, nie uzywalem phantoma, ale stawiam ze to jakies ukrywanie bp