Thiago de Queiroz 8 Posted April 18 Share Posted April 18 Thiago é um engenheiro reverso das antigas e programador há mais de 20 anos em diversas linguagens. Ele vai mostrar uns segredos no processo de debugging, pra encontrar variáveis locais e outros truques que não estão nos livros e só a experiência traz mesmo! Quote Link to post Share on other sites
dudsdev 0 Posted April 18 Share Posted April 18 Boa Thiago, bem massa cara!! Tem como disponibilizar os conteúdos usados na sua palestra mano ? Quote Link to post Share on other sites
Thiago de Queiroz 8 Posted April 18 Author Share Posted April 18 Obrigado pela participação! O debugger vc baixa no google, x64dbg. O segundo projeto optei por não disponibilizar por ser um 'ransomware porcamente' funcional rs. Abraço! Projeto00.rar Quote Link to post Share on other sites
Realizando Sonhos 1 Posted April 18 Share Posted April 18 Boa tarde! Primeiramente Parabéns! Conteúdo top, eu gostaria de saber quando acontece de no caso esta analisando um software e acontece de EXCEPTION_ACCESS_VIOLATION e possivel que tenha sido usado algum patch ou pode ser questão de erros no código? Quote Link to post Share on other sites
Thiago de Queiroz 8 Posted April 18 Author Share Posted April 18 Obrigado! A violação de acesso pode ser por uma exceção não tratada no software, algum bloco try catch que não foi devidamente capturada. Geralmente você pode ignorar as exceções com shift+f9, ou ir nas opçoes do depurador e repassar essas exceçoes para o software ao invés de tratá-las no debugger. Pode ser também algum packer utilizado. Abraço! Quote Link to post Share on other sites
Realizando Sonhos 1 Posted April 18 Share Posted April 18 Agora, Thiago de Queiroz disse: Obrigado! A violação de acesso pode ser por uma exceção não tratada no software, algum bloco try catch que não foi devidamente capturada. Geralmente você pode ignorar as exceções com shift+f9, ou ir nas opçoes do depurador e repassar essas exceçoes para o software ao invés de tratá-las no debugger. Pode ser também algum packer utilizado. Abraço! Obrigado! 1 Quote Link to post Share on other sites
Realizando Sonhos 1 Posted April 18 Share Posted April 18 Eu de volta e quando acontece de um C0000139 (STATUS_ENTRYPOINT_NOT_FOUND). Quote Link to post Share on other sites
Thiago de Queiroz 8 Posted April 18 Author Share Posted April 18 O programa está com algum tipo de packer? Sugiro esta análise primeiro. Se sim, de preferência fazer o unpacking dele. É um .exe ou dll? Qual seu S.O. ? Shift+F9 funciona? Quote Link to post Share on other sites
Realizando Sonhos 1 Posted April 18 Share Posted April 18 6 minutos atrás, Thiago de Queiroz disse: O programa está com algum tipo de packer? Sugiro esta análise primeiro. Se sim, de preferência fazer o unpacking dele. É um .exe ou dll? Qual seu S.O. ? Shift+F9 funciona? 1. R = Ainda não análisei 3. R = É um .exe 4. R = Win10 5. R = Sim Quote Link to post Share on other sites
Thiago de Queiroz 8 Posted April 18 Author Share Posted April 18 Estas exceções se não forem pertinentes a sua análise não vale perder tempo com elas ? shift+F9 e código pra frente hehehe 1 Quote Link to post Share on other sites
Fernando Mercês 0 Posted April 19 Share Posted April 19 @Thiago de Queiroz seguem mais perguntas que surgiram no chat: 1.Qual a diferença deste debug para o WinDbg? 2. Este debug tmb converte o código para c? 3. Isso funciona mesmo se o executável for gerado sem as diretivas de debug? 4. Os endereços de memória das áreas de .txt, .data e .rsrc se encontram no cabeçalho PE? Abraço! Quote Link to post Share on other sites
Thiago de Queiroz 8 Posted April 20 Author Share Posted April 20 18 hours ago, Fernando Mercês said: @Thiago de Queiroz seguem mais perguntas que surgiram no chat: 1.Qual a diferença deste debug para o WinDbg? 2. Este debug tmb converte o código para c? 3. Isso funciona mesmo se o executável for gerado sem as diretivas de debug? 4. Os endereços de memória das áreas de .txt, .data e .rsrc se encontram no cabeçalho PE? Abraço! A diferença básica é que windbg consegue trabalhar a nivel do kernel, debugar drivers, etc, e trabalha-se mais com comandos, enquanto o x64dbg ou o olly é voltado para depurar programas que estão em um nivel diferente, não se tem acesso a drivers do sistema inteiro, e é mais user-friendly ? Se você usar o plugin snowman sim, consegue ver o pseudo código em C. Sim, neste caso não usei diretivas de debug. Sim, desde que não seja um programa packeado, que criaria essa área na memória em tempo de execução e protegeria o seu acesso. No geral sim, no cabeçalho PE. Não tem o número 5. ? 1 Quote Link to post Share on other sites
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.