Как перевести отладчик на дочерний процесс.

http://rgho.st/6Tzd2kHYg - выкорчеванный файл крякми. Файл адаптирован для работы на XP, поэтому ТЕОРЕТИЧЕСКИ могут быть сбои. Но я пока что не заметил.
Пасс на архив: www.wasm.in

 

О гений , о ангел, о друг, подскажи дураку как ты патчил процесс? Нашел в CONTEXT entrypoint фото 0040119c . Погуглил, попалась утилита process hacker , перед выполнением ResumeThread поставил точку останова, дошел до нее. Открываю process hacker->выбираю дочерный процесс ->правой кнопкой вызваю Properties->memory->выбираю нужную секцию фото ..... как видешь из фото интервал от 0x40000 -0x41000 , пропатчить я могу только до ff0 !? (почему, немогу понять и в обще правильна ли логика?)

 

В этом случае все не совсем так, как я предполагал, предлагая вариант с патчем EP. Я пока что не особо вдавался в анализ алгоритма работы, но кое-что успел заметить. Оригинальный файл создает в процессе работы 3 (!) дочерних процесса , один из которых сам crackme. До файла crackme я добрался вот как: брякался на ResumeThread, менял handle на инвалидный (0), тем самым не позволяя процессам выполняться. После этого, как было сказано тобой, основной процесс завершается, но, созданные процессы так и остаются запущенными в приостановленном состоянии. Затем взял PETools и легким движением руки снял дампы с процессов. Делал все на XP, поэтому дампы пришлось допиливать напильником, чтобы запустить.

 

Состою у логопеда на учете - результат нулевой.

 

windbg: .childdbg 1 или стартануть с -o
потом используй | для переключения между процессами, так же как ~ между потоками