Jump to content

Palestra 3: Debugging Tricks


Recommended Posts

Obrigado! A violação de acesso pode ser por uma exceção não tratada no software, algum bloco try catch que não foi devidamente capturada.

Geralmente você pode ignorar as exceções com shift+f9, ou ir nas opçoes do depurador e repassar essas exceçoes para o software ao invés de tratá-las no debugger.

Pode ser também algum packer utilizado. 

 

Abraço!

Link to post
Share on other sites
Agora, Thiago de Queiroz disse:

Obrigado! A violação de acesso pode ser por uma exceção não tratada no software, algum bloco try catch que não foi devidamente capturada.

Geralmente você pode ignorar as exceções com shift+f9, ou ir nas opçoes do depurador e repassar essas exceçoes para o software ao invés de tratá-las no debugger.

Pode ser também algum packer utilizado. 

 

Abraço!

Obrigado!

  • Agradecer 1
Link to post
Share on other sites
6 minutos atrás, Thiago de Queiroz disse:
  1. O programa está com algum tipo de packer? Sugiro esta análise primeiro.
  2. Se sim, de preferência fazer o unpacking dele.
  3. É um .exe ou dll?
  4. Qual seu S.O. ?
  5. Shift+F9 funciona?

1. R = Ainda não análisei
3. R = É um .exe 
4. R = Win10
5. R = Sim

Link to post
Share on other sites
18 hours ago, Fernando Mercês said:

@Thiago de Queiroz seguem mais perguntas que surgiram no chat:

1.Qual a diferença deste debug para o WinDbg?
2. Este debug tmb converte o código para c?
3. Isso funciona mesmo se o executável for gerado sem as diretivas de debug?
4. Os endereços de memória das áreas de .txt, .data e .rsrc se encontram no cabeçalho PE?

Abraço!

  1. A diferença básica é que windbg consegue trabalhar a nivel do kernel, debugar drivers, etc, e trabalha-se mais com comandos, enquanto o x64dbg ou o olly é voltado para depurar programas que estão em um nivel diferente, não se tem acesso a drivers do sistema inteiro, e é mais user-friendly ?
  2. Se você usar o plugin snowman sim, consegue ver o pseudo código em C.
  3. Sim, neste caso não usei diretivas de debug.
  4. Sim, desde que não seja um programa packeado, que criaria essa área na memória em tempo de execução e protegeria o seu acesso. No geral sim, no cabeçalho PE.
  5. Não tem o número 5. ? 
  • Haha 1
Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...