Как перевести отладчик на дочерний процесс.

Как можно отладчик(IDA или Ollydbg) переключить на дочерний процесс? Занимаюсь реверсом одного crackme который создает дочений процесс, а родительский завершает, что создает определенные трудности в нахождении решения.

 

Отключить от текущего процесса и подключить к целевому.

В реестре(IFEO) пропишите отладчик, он запустится взяв под дебаг дочерний(или прочий любой по имени) процесс.

 

BP на CreateProcess, после выполнения, подцепиться второй копией отладчика, или то что написал Инди.

 

Через IFEO не получаеться , Ollydbg выдает ошибки. А как подключиться через Ollydbg зная PID?

 

1. Брякаешься на CreateProcess
2. Если не установлен флаг CREATE_SUSPENDED - ставишь
3. После создания процесса, зная его адрес EP - вызываешь WriteProcessMemory с 2 байтами EB FE, что соответствует JMP на саму себя (зацикливаешь дочерний процесс)
4. Запускаешь дочерний процесс (ResumeThread)
5. Аттачишься к нему и брякаешься на EP
6. Восстанавливаешь оригинальные 2 байта EP
7. Выворачиваешь его наизнанку

P.S. Так обходится механизм DebugBlocker в проте Armadillo
P.S.S. Ломай его полностью! ))

 

Судя по фото ТС дебагер его боится)

 

Vadimcg,

> Через IFEO не получаеться , Ollydbg выдает ошибки.

Значит вы что то не правильно делаете, может путь не корректный прописан.

 

Так Яша же снимал ролик про этот метод. Это часть про Патрика в курсе Нарвахи.

 

Корректно, если бы он не был правильно прописан, дебагер бы не запускался при старте программы и на дочернем потоке ...Первый раз стартует нормально, когда происходит создания второго потока он запускаеться с ошибкой ...

 

Поделись этим чудищем бородатым, дай полюбоваться на рожу его зверскую ))

 

Ссылка: https://drive.google.com/open?id=15cCsiuQTGnmFB3C9-5OEQ3m-BQ1zJntw

 

Спс. Вечерком сегодня гляну

 

Vadimcg,

Там параметр запуска есть. И свой локальный её формат, к примеру %1 или двойные "". При неправильном параметре отладчик не сможет обработать кмд строку. У вас именно это - отладчик стартует, но не может распарсить параметры отладки, так как вы их не корректно задали.

 

Vadimcg,

#10

Тогда получается что апп под отладку берётся, но отладчик отваливается при запуске потока. Это значит что там антидебаг и нужно заюзать плаги, либо сменить версию отладчика.

В общем же вы не описываете подробности, какая например именно ошибка, не выясняете суть и не предоставляете данных для этого. Посему вопрос вызывает сомнение, как и ваша мотивация разобраться. Это значит лишь одно - покрыть прямой вопрос на бесплатные запросы на взлом, тоесть это симуляция деятельности с целью - кто то на это поведётся, таким образом решит вашу задачу. ->> на кряклаб в запросы или сюда в комерц.

 

Если я имею исходные данные не правильные , то почему отладчик срабатывает при старте? При запуске второго потока выдает:

фото

А вот что я записал в реестр:
фото

"покрыть прямой вопрос на бесплатные запросы на взлом" -у вас как-то сложно все, я бы просто задал вопрос "Помогите решить..." или что-то на подобе. Нафига решать crackme если ты непонимаешь как она работает?

 

Vadimcg,

> Если я имею исходные данные не правильные , то почему отладчик срабатывает при старте

Вы указали путь к отладчику, но не указали параметры для его запуска. Эти аргументы передаются как коммандная строка в отладчик. Сколько можно повторять

Ошибка STATUS_DLL_INIT_FAILED - есть овер 9к причин её.

 

А что конкретно я должен дописать вы можите сказать? Я вбивал в google Ollydbg IFEO, но про параметры нечего не нашел...

 

yashechka,

А что это за видос, точнее кто его озвучивает, вы ?

Озвучка я бы сказал ппц, вроде же на русском говорит, но я как то туго понимаю. Автора к логопеду.