能力值：
( LV2，RANK：10 )
|
-
-
2 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
没人知道吗
|
能力值：
( LV5，RANK：60 )
|
-
-
4 楼
以win2k为例，如果当前进程是以调试方式创建的话，那么创建进程回到用户态进程开始初始化的地方，在NTDLL有这个函数:
LdrpInitializeProcess
// Now that all DLLs are loaded, if the process is being debugged,
// signal the debugger with an exception
//
if ( Peb->BeingDebugged ) {
DbgBreakPoint();
}
OD可以设置停下来在系统断点，还是winmain
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
叁毛
以win2k为例，如果当前进程是以调试方式创建的话，那么创建进程回到用户态进程开始初始化的地方，在NTDLL有这个函数:
LdrpInitializeProcess
// No ...
我问的是附加，谢谢
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
有可能是窗口没有刷新,你右键刷新一下窗口看看状态是否改变
|
能力值：
( LV3，RANK：30 )
|
-
-
7 楼
OD调用了kernel32的DebugActiveProcess，这个函数就是给被调试进程开了个线程DbgUiRemoteBreakin，内部就会int 3。而之所以其他线程是激活状态，主要是因为OD间接调用了内核的DbgkpPostFakeProcessCreateMessages，这个函数原理貌似就是遍历相关链表获得线程创建，模块加载之类的信息，然后挂到调试对象的event链表上。
|
|
|
|
