OD被Anti的原因分析及应对之道.docVIP

作 者: tangjiutaoOD载入程序就自动退出是比较恼人的，还没开始调试呢就退出了，这可让人如何是好。初学破解的人一定会遇到这个问题,怎样解决呢，网上虽然有零星的介绍但都不全面，以下是我总结的一些，希望能对各位初学者有所帮助。（比如Peid、FI查壳查不到，OD一载入就退出，这极有可能是VMProtect的保护（虚拟机保护），用EXEinfo可以查出来一些版本的VMP，如果有这个提示那就更确定无疑了“A debugger has been found running in your system.Please, unload it from memory and restart your program”。）1.更换几个OD试试，OllyICE、Shadow、加强版等2.用附加的方式加载程序，文件--附加,能解决很多问题3.OD目录下，将475K 的DbgHelp.dll文件换成近1M大小的DbgHelp.dll文件，475K的有溢出漏洞，这条比较关键4.使用StrongOD插件，（StrongOD+原版OD试试），这条比较关键5.StrongOD中选择CreateAsRestrict6.尝试命令bp ExitProcess，看能否发现什么线索7.改变ollydbg.ini中的驱动名称，修改版的OD不需要自己改???? DriverName???????????????? -????? 驱动文件名，设备对象名DriverKey???????????????????? -???? 和驱动通信的keyHideWindow???????????????? -??? 是否隐藏窗口，1为隐藏，0为不隐藏HideProcess???????????????? -???? 是否隐藏od进程，1为隐藏，0为不隐藏ProtectProcess???????????? -???? 是否隐藏保护Od进程，1为保护，0为不保护8.改OD窗体类名，用的修改版的话一般都改过了，不需要自己再改方法如下：主窗体类名:引用:VA:004B7218Offset:000B6018各子窗体类名：引用:VA:004B565B ~ 004B568AOffset:000B445B ~ 000B448A改成任意，可以过GetWindow检测9.手动修改程序“导出表”中的“函数名数目”值，上面方法不管用再试试它方法：使用“LordPE”打开要编辑的PE程序，然后依次选择[目录]-[导出表对应的“..”按钮]，把“函数名数目”的值减1，并点击“保存”按钮，就OK了。为了好看些，也可以把“函数数目”和“函数名数目”的值都同时减1并保存，效果一样。?? 解释：一般情况下EXE不会加“导出表”，如果加了，就应该给出所导出的API函数。当我们打开这类PE程序(EXE版)时，会发现它存在“导出表”，但“导出表”中并没有导出的API函数。同时“函数数目”和“函数名数目”的值都比原PE程序设置的值大了1(如：EXE版“导出表”列表中显示了0个导出的API函数，壳将其“函数数目”和“函数名数目”的值都设置成了1；DLL版“导出表”列表中显示了0xD个导出的API函数，壳将其“函数数目”和“函数名数目”的值都设置成了0xE。)。所以我们将其减1，就OK了。被修改过的PE程序，可以正常运行，不会有任何影响。?这只是我的一点总结，附加方式加载、替换DBGHELP.DLL、使用StrongOD插件和修改导出表函数名数目的方法是可行的，能够解决一些问题。当然这些方法可能并不全面。ANTI-OD原因解读：?概括来说：TLS回调函数在入口点之前执行，并进行了ANTI-OD的操作.?具体请看：TLS数据初始化和TLS回调函数都会在入口点之前执行，也就是说TLS是程序最开始运行的地方，因此可以在这里防止ANTI-OD的代码，检测并关闭OD。?应对方法：? 默认情况下OllyDbg载入程序将会暂停在入口点，应该配置一下OllyDbg使其在TLS回调被调用之前中断在实际的loader。? 通过“选项-调试选项-事件-第一次中断于-系统断点”来设置中断于ntdll.dll内的实际loader代码。这样设置以后，OllyDbg将会中断在位于执行TLS回调的ntdll!LdrpRunInitializeRoutines()之前的ntdll!_LdrpInitializeProcess()，这时就可以在回调例程中下断并跟踪了。例如：在内存映像的.text代码段上设置内存访问断点，就可以断在TLS回调函数里。更多TLS内容请看我的两篇博文：TLS回调函数，Anti-od原理分析：/tjt999/blog/item...808f7eff1.html