-
-
[求助]有没有什么好的工具可以监控一个程序调用的api和syscall
-
发表于: 2020-1-31 16:30
-
|
|
|---|---|
|
|
|
|
|
谢谢表哥，这些都必须在真机运行吧。。。em，有没有可以不在真机运行的呀。 |
|
|
|
|
|
|
|
|
谢谢。。话说俺现在脱壳，就是用这种原始方式。。dump+ida+调试。。虽然慢，但是很练基本功。。把运行中的程度dump下来，修复以后ida一下，继续运行。一点一点脱。。。
最后于 2020-1-31 19:49
被白菜大哥编辑
，原因：
|
|
|
确实可以应对大部分情况，谢谢。有个啥平台，在线的，忘了叫啥名字，可以上传exe，然后分析出调用的api顺序。
最后于 2020-1-31 19:51
被白菜大哥编辑
，原因：
|
|
|
微步，哈勃，奇安信。还有一个不记得了 |
|
|
谢谢，既然如此，小弟也分享一点心得，作为回报。 脱一些强壳，比如iat被破坏的不成样子了，importrec找不到了（类似vmp最新版，call会到vmp的区段内），有个通用的办法就是写一个dll，用x32dbg的alt+e窗口，注入进去dll，然后那个dll，里面把原始call的目的地址（ida静态撸出来可执行节，可以找到哪些需要修复，一般除了vm函数以外都可是可以这种办法修复的）指向自己分配的内存，自己分配的内存写成ff 15和ff 25那种形式，就可以继续用工具自动化来修复iat了。 |
|
|
不知道你在说啥 |
|
|
em，脱vmprotect，修复iat的方法。。仅仅是个人方式 |
|
|
没看懂 建议做个详细教程 |
|
|
em，最近又不搞vmprotect了，搞mapoengine，也是一个虚拟机的壳，哪天拿他写一篇吧。。 |
|
|
|
|
|
问下，为什么非要脱壳修复iat？vm后的就算脱了还是vm后的代码呀，我和你一样也都是dump分析加带壳调试，工作关系一般只是扣算法，所以问下你们哪些场景下需要脱壳。 |
|
|
强迫症。。。 |
hzqst
