WinDbg

逆向分析

OLLYDBG,IDA，windbg.........rootkits,anti-rootkits相关项目
lusic01·2020-08-21 00:35

记一次windows 2008 R2 SP1中永恒之蓝病毒的处理过程

PAGE_FAULT_IN_NONPAGED_AREA(50)解决步骤：利用windbg工具分析dump文件。巴拉巴拉一通，用windbg分析出了有用的东西，看如下截图。
shanda_liang·2020-08-20 21:09

使用Windbg解析dump文件

第一章常用的Windbg指令①!analyze-v②kP可以看函数的入参③!
MultiStone·2020-08-20 20:50

IoEnumerateDeviceObjectList函数的还原

c代码+WinDbg得到的反汇编代码NTSTATUSIoEnumerateDeviceObjectList(INPDRIVER_OBJECTDriverObject,//ebp+8INPDEVICE_OBJECT
pureman_mega·2020-08-20 10:27

内存泄露分析

1.准备工具：windbg2.准备环境：需要设置windbg符号路径内存泄露分析demoint_tmain(intargc,_TCHAR*argv[]){while(TRUE){char*p=newchar
Jackchenyj·2020-08-19 17:30

【转】从Ollydbg说起-----WinDbg用户态调试教程

【文章标题】:【原创】从Ollydbg说起-----WinDbg用户态调试教程【文章作者】:笨笨雄【作者邮箱】:[email protected]【工具】:Windbg6.6.7.5;Ollydbg1.10
haoxing168·2020-08-19 09:02

use windbg to analy IDT(1)

1.BasicofIDTinWindbg,wecangetIDTtableusinglkd>!idt-aDumpingIDT:00:80542550nt!KiTrap0001:805426ccnt!
uvbs·2020-08-19 04:00

CVE-2015-1641 Office类型混淆漏洞及shellcode分析

作者：枕边月亮原文来自：CVE-2015-1641Office类型混淆漏洞及shellcode分析0x1实验环境：Win7_32位，Office20070x2工具：Windbg，OD，火绒剑，UltraEdit
张悠悠66·2020-08-18 23:18

WinDbg下载符号文件

下载符号文件（微软官方符号服务器无法访问）三、加载用户层的符号文件参考资料一、符号文件的用处符号文件即PBD（ProgramDebugDataBase）文件，他的用处是让调试器能够将地址与函数名对应，例如：WinDBG
feng_blog6688·2020-08-18 15:49

windows调试器设置

本文就windows调试器的设置问题，根据个人在windbg上的使用经验进行总结，既算是对自己的总结，也算是份大家一起分享自愿吧。
int2e·2020-08-18 15:17

CRT内存泄露检测

方法太多，工具的就不细说了，umdh，windbg都可以，说说代码的几个函数调试的两个windows的头文件#include#include1、内存状态比较_CrtMemCheckpoint_CrtMemCheckpoint_CrtMemDifference_CrtMemDumpAllObjectsSince2
hjing1988·2020-08-18 13:10

遭遇sprintf导致的堆栈崩溃。不使用sprintf_s()的代价

问题分析：根据生成的dump文件，windbg的分析结果为：Thestoredexceptioninformationcanbeaccessedvia.ecxr.
zdl1016·2020-08-18 12:25

42、驱动程序调试

Dump信息用WinDbg查看。
weixin_34392435·2020-08-18 05:21

黑客常用的工具

他们的电脑屏幕上都是一些看不懂的图形和数字，你能看懂的就只有那个进度条，伴随着紧张的BGM，慢慢的向100%靠近······以下分别是系统终端和网络各10款常用的黑客工具-OllyDbg-WinDbg-IDA-APIMonitor-P
二十-帅帅·2020-08-18 00:22

BOCHS 调式命令大全

[执行控制]c|cont向下执行，相当于WinDBG的“g”。s|step|stepi[count]单步执行，相当于WinDBG的“t”，count默认为1。
yearn520·2020-08-17 17:43

dump文件

Dump文件是用来给驱动程序编写人员调试驱动程序用的，这种文件必须用专用工具软件打开，比如使用WinDbg打开。主要是用来在系统中异常或者崩溃的时候，来生成dump文件，然后用调试器来调试。
severusyue·2020-08-17 14:43

用 DKOM 的方法来隐藏进程和保护进程

是不行的除了要摘链还是去搞掉一张表这个比较麻烦还有一点要注意的是我们这里的进程结构体不一定是其它系统的结构体因为windows不同的版本会重新定义很多数据结构然后有些大手子写的驱动会有硬编码什么的就会导致蓝屏~~~~~~然后想找结构的话可以用Windbg
pipixia233333·2020-08-17 14:51

学习记录----2020.7.24

学习记录这几天看了一些关于驱动的东西，然后学了一些WinDbg的双机调试以及IDA使用WinDbg插件调试驱动，踩了很多坑然后之前还做了一个比赛的crackme，然后数学题太顶了，不懂数论就没做出来WinDbg
0x菜鸡·2020-08-17 06:49

VS2012+WDK8.0+WIN7的一点心得

在WIN7使用Windbg它不支持local，所以显示的信息会比较多。进入正题：在用VS2012开发驱动程
fsjaky·2020-08-16 19:47

Windbg导出User32.dll里面的所有函数

这里要用到一个Windbg命令：xuser32!*X[模块名]![函数名/*]解释：X：表示查询的意识xuser32!
fsjaky·2020-08-16 19:16

windbg-.process切换进程（内核）

.process.process命令指定要用作进程上下文的进程(SetProcessContext).process显示当前进程的EPROCESS，这里显示当前进程为test.exe[cpp]viewplaincopyprint?kd>.processImplicitprocessisnow821f5da0kd>?@$procEvaluateexpression:-2111873632=821f5
aijia1857·2020-08-16 12:14

WinDBG技巧：列出当前进程所有装载的模块(DLL/EXE)

调试的时候想要知道当前进程装载了哪些模块，每个模块被装载的代码地址段是在哪个范围，可以使用lm命令。拿notepad为例，输入lm命令可以发现：0:001>lmstartendmodulename0083000000858000notepad(pdbsymbols)c:/debuggers/externalsymbols/notepad.pdb/7DAC7B3D7D1D4E68BE2132EAB0
云深互联·2020-08-16 11:07

快速构建大数据缓存

场景：系统运行于正式环境后，发现时常发生OOM（OutOfMemory），通过Windbgdump了几个内存后发现很多缓存对象无法回收【分析过程另起新篇叙述】，于是想到如何处理缓存？
孤剑·2020-08-16 11:47

windbg调试基础

#工作空间[Workspace]工作空间被用来描述和存储一个调试项目的属性、参数以及调试器设置等信息，其功能类似于集成开发环境的项目文件。具体包括：调试会话状态（断点、打开的源文件、用户定义的别名等）、调试器设置（符号文件路径、源文件路径、可执行映像文件路径等）和窗口布局状态。0.基础工作空间[baseworkspace]未载入任何的调试文件时使用默认的启动环境。存放位置：HKEY_CURRENT
weixin_33976072·2020-08-16 09:41

WinDBG 技巧：如何生成Dump 文件(.dump 命令)

程序崩溃（crash）的时候，为了以后能够调试分析问题，可以使用WinDBG要把当时程序内存空间数据都保存下来，生成的文件称为dump文件。
weixin_33979203·2020-08-16 09:10

WinDbg调试器

·WinDbg-用一个漂亮的UI包装了KD和NTSD。WinDbg即可以调试内核模式，也可以调试用户模式程序
weixin_30247159·2020-08-16 08:01

使用WinDbg调试内核

知识点WinDbg是微软提供的一个免费调试器，支持内核调试，也具有监控Windows系统交互的功能。
Hvnt3r·2020-08-16 06:35

IDA 6.0设置WinDbg调试器路径

在早期版本的IDA中可以直接通过进程选项来设置Windbg的路径，但是在6.0之后这个菜单没了。但是可以直接编辑ida.cfg文件来设置调试器路径，修改如下内容即可。
kingswb·2020-08-16 06:42

如何修改默认调试器-windbg

如何修改默认调试器-windbgwindowsnt程序崩溃时，自动弹出，windows停止工作，可设置默认调试器：运行：Regedit->打开windows注册表：32位系统：HKEY_LOCAL_MACHINE
flm007·2020-08-16 06:34

定位CPU高的方法

CPU占用高，最常见的原因是死循环或者类死循环的操作，如果要逐一排查代码，费时费力，可以先用工具工具1.windbg，windows出品的牛刀一枚以管理员运行windbg,File->AttachtoProcess
lizheng308·2020-08-15 23:42

_KUSER_SHARED_DATA 结构查看

windbg双机调试：kd>!
huanongying131·2020-08-15 23:26

【Qt】创建项目无法运行 Kits 中无Debugger MSVC2017 黄色叹号解决方法

程序控制word，还是习惯使用vs，这里就遇到很多问题，首先，安装了Qt，选择的MSVC201764bit，安装后，Qtcreator新建项目无法编译，发现kit套件中没有debug配置，在网上找发现缺少Windbg
WeiGordon·2020-08-15 21:18

WinDebug查找内存泄露

Windbg是一款功能强大又可免费使用的内存泄露检查工具，通过Windbg可以初步定位怀疑有内存泄露的代码位置。COM接口相关的问题在本文档中不涉及。Windbg是微软提供的一
贝壳里的沙·2020-08-15 14:41

Bochs调试指令

1.2、禁用/启用断点bpd|bpebn禁用/启用断点，相当于WinDBG的“be”和“bd”。bn是断点号，可以用blist命令查询。1.3、删除断点d/delbnbn是断点号
平菓菓·2020-08-15 10:56

windbg学习笔记

写与2014年6月3日DefaultWorkspace默认工作空间implicitWorkspace隐含工作空间NamedWorkspace命名工作空间explicitWorkspace显示工作空间BaseWorkspace基础工作空间dormant状态DefaultKernel-modeWorkspace默认内核态工作空间RemoteDefaultWorkspace默认远程调试工作空间DbgSr
战狼之羊·2020-08-15 09:39

WinDBG查看内核数据结构

查看详细的模块信息：!lmint枚举所有内核数据结构：dtnt!_*查看数据结构详细信息：dtnt!_xxx//!lmint[查看详细的模块信息]kd>!lmintLoadedModuleInfo:[nt]Module:ntkrnlpaBaseAddress:804d8000ImageName:ntkrnlpa.exeMachineType:332(I386)TimeStamp:4802516aM
Diomedes·2020-08-15 01:21

4.ring0-遍历IAT（特例NTOS）

坑爹啊，可以用windbg很直观的看到：X86：x64:其他的IAT遍历代码如下：NTSTATUSEnumIATTable(ULONG_PTRpBase){PIMAGE_DOS_HEADE
花熊·2020-08-14 17:58

如何使用WinDBG跟踪调试ASL/ACPI?

使用WinDbg调试ACPI代码通常需要两台计算机，一台是目标机（Debuggee），另一台作为主机（Debugger）。下面就介绍一下怎么在两台机器上建立调试环境。
x86ipc·2020-08-14 05:10

windows下Qt5安装使用

对于已安装了Qt4的朋友，建议保留，再装个Qt5应该没有影响，我现在装的是QtSDK1.2.1(Qt4.8)+用VS2010做编译器windbg做调试器的Qt5。有俩QtCreater都能用。
haltwang·2020-08-14 02:20

Dump 文件生成与分析

Dump文件是用来给驱动程序编写人员调试驱动程序用的，这种文件必须用专用工具软件打开，比如使用WinDbg打开。当我们的程序发布出去之后，在客户机上是无法跟踪自己代码的bug的，所以D
rickypc·2020-08-13 18:56

Windbg 分析 Dump File 简单演示(转)

id=765使用Windbg调试Dump文件是一种常用的手法，不同于AttachProcess，这种方式允许我们"离线"完成调试工作。Dump文件保存了目标进程某个时间点的内存及相关程序信息镜像。
weixin_34087301·2020-08-12 18:09

如何使用Windbg 查Cpu飙升问题

1、首先下载Windbg2、打开Windbg设置File-〉SymbolSearchPath地址如下C:\Symbols;SRV*C:\MyLocalSymbols*http://msdl.microsoft.com
weixin_30376163·2020-08-12 18:33

Windbg命令学习6(!runaway和~)

1.!runaway!runaway命令显示每个线程消费的时间Bit0(0x1)让调试器显示每个线程消耗的用户模式时间(usertime)，默认不加就是0x1Bit1(0x2)显示每个线程消耗的内核时间(kerneltime)。Bit2(0x4)显示每个线程从创建开始经历了多少时间。就是三者的组合：12345670:002>!runawayUserModeTimeThreadTime0:8900d
weixin_30312659·2020-08-12 18:29

windbg解决程序CPU占用率高，内存占用时高时低现象

用windbgattach该进程，Microsoft(R)WindowsDebuggerVersion6.11.0001.404X86Copyright(c)MicrosoftCorporation.Allrightsreserved
testing2007·2020-08-12 17:53

利用WinDbg 远程调试

对于WinDbg，我目前为止还没有发现很好的快速入门的教程。这篇文章结合实例讨论了WinDbg的使用。我首先假设你熟悉
weixin_30391339·2020-08-12 10:07

注入技术系列：一个批量验证DLL劫持的工具

比如通过IDA查看导入的DLL，或者LoadLibrary的DLL，然后慢慢排除某些KnownDlls，排除某些绝对路径加载的DLL…或者通过Windbg分析。虽然技术难度不高，但是挺费事的。
anhkgg·2020-08-11 21:02

VS输出打印信息到调试窗口

define_DEBUGPRINTF_H_#include#include//用于输出信息到编译器输出窗口的宏定义//使用winAPI，DEBUG版本会执行，RELEASE版本则不会//还可以使用DebugView，WinDbg
zhangyi_changsha·2020-08-11 17:27

Exploit Development – 使用SEH绕过Security Cookie

使用原先的msg.dat会导致程序crash，从下面的分析可以看出，WinDBG是可以给出栈溢出的信息的。具体原因是由于开启/GS选项以后，会在return之前，调用__security
dupei·2020-08-11 16:16

Windbg学习19(!heap)

以下以windbg启动calc为调试结果:1!heap!heap扩展显示堆使用信息，控制堆管理器中的断点，检测泄露的堆块，搜索堆块或者显示页堆(pageheap)信息。!
weixin_30411239·2020-08-11 05:27

Windbg本机调试时“your debugger is not using the correct symbols”错误

来源自我的博客http://www.yingzinanfei.com/2017/02/01/windbgbenjidiaoshishiyour-debugger-is-not-using-the-correct-symbolscuowu
陈止风·2020-08-11 01:58
上一页 8 9 10 11 12 13 14 15 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他