【小技巧】 使SoftICE在程式入口處停下來的一個辦法 (484字)

看雪資料發表於2001-10-16

由於加過殼的程式的section characteristics一般都被改了，所以用SoftICE symbol loader載入被加殼了的exe後無法停在程式的入口處，而是立即執行了。

一般是採用修改section characteristics為E0000020或者將入口指令改為int 3的辦法，但難於躲過CRC校驗。

在Win2K下可以按照下面的方法使得程式在入口處停下：

1、用pe editor得到加殼後的入口為xxxxxxxx。
2、BPX LoadLibraryA
3、用symbol loader載入被加殼了的exe，第一次中斷後處在系統的rpcrt4.dll中。
4、清除斷點，設斷點 BPM CS:xxxxxxxx X 即可。

相關文章