The art of Unpacking 번역 - SecretOfSh의 블로그

9 | 페 이 지
; using ntdll!NtQueryInformationProcess(ProcessDebugPort)
lea eax,[.dwReturnLen]
push eax ;Returnlength
push 4 ;ProcessInformationLength
lea eax,[.dwDebugPort]
push eax ;ProcessInformation
push ProcessDebugPort ;ProcessInformationClass (7)
push 0xffffffff ;ProcessHandle
call [NtQueryInformationProcess]
cmp dword [.dwDebugPort],0
jne .debugger_found
해결방법
한가지 방법은 NtQueryInformationProcess() 함수가 리턴 되는 곳 에서 브레이크포읶트를 설정하여 브레이크포읶트가 작동할
때 ProcessInformation 은 DWORD 값을 0 으로 패치 합니다. 아래는 자동으로 작동하는 올리스크릱트의 예제입니다.
var bp_NtQueryInformationProcess
// set a breakpoint handler
eob bp_handler_NtQueryInformationProcess
// set a breakpoint where NtQueryInformationProcess returns
qpa "NtQueryInformationProcess", "ntdll.dll"
find $RESULT, #c21400# //retn 14
mov bp_NtQueryInformationProcess,$RESULT
bphws bp_NtQueryInformationProcess,"x"
run
bp_handler_NyQueryInformationProcess: