断点导致访问冲突

如何解决断点导致访问冲突

我用 C 编写程序，我使用的是 Windows。我有一个从用户那里获取 exe 的程序，每 5 条指令我就设置一个断点，因此破解程序变得更加困难。我正在使用反汇编库来确保我替换的操作码是指令的第一个操作码。每次用 0XCC 替换操作码时，我都会在表上写入操作码的地址和原始操作码。替换后，我打开一个带有调试标志的新进程，每次出现断点时，子进程抛出异常，父进程将0XCC替换为原始操作码。将操作码替换为原始操作码的代码如下所示：

address = (DWORD)debug_event->u.Exception.ExceptionRecord.ExceptionAddress;

if (!VirtualProtectEx(pi->hProcess,(LPVOID)address,sizeof(BYTE),PAGE_READWRITE,&last_protect)) {
    log_error("VirtualProtectEx failed LAST ERROR: %d",GetLastError());
    goto l_cleanup;
}

log_trace("Trying to write the opcode: [0x%x] to the address: [0x%x]",*opcode,address);

if (!WriteProcessMemory(pi->hProcess,opcode,&number_of_bytes_write)) {
    log_error("WriteProcessMemory failed LAST ERROR: %d",GetLastError());
    goto l_cleanup;
}

if (!VirtualProtectEx(pi->hProcess,last_protect,GetLastError());
    goto l_cleanup;
}

log_trace("Successfully changed the opcode to the original one");

ctx.ContextFlags = CONTEXT_FULL;

if (!GetThreadContext(pi->hThread,&ctx)) {
    log_error("GetThreadContext failed LAST ERROR: %d",GetLastError());
    goto l_cleanup;
}

log_trace("Trying to change the EIP with the value: [0x%lx] to the value: [0x%x]",ctx.Eip,address);

ctx.Eip -= 1;

if (!SetThreadContext(pi->hThread,&ctx)) {
    log_error("SetThreadContext failed LAST ERROR: %d",GetLastError());
    goto l_cleanup;
}

我还有一个 while 循环，它一直运行到退出进程出现异常为止。

这是改变指令和更新表的代码：

address_of_code = text_section.VirtualAddress - text_section.PointerToRawData;

for (INT counter = 0; counter < count - 1; ++counter)
{

    if (0 == counter % 5) {
        loaded_PE->data[instructions[counter].address] = 0xCC;
        info.address = instructions[counter].address + address_of_code;
        info.opcode = instructions[counter].bytes[0];
        info.length = instructions[counter].size;

        log_trace("address: %x",instructions[counter].address + 
        address_of_code);
        log_trace("instruction: %s",instructions[counter].mnemonic);
        log_trace("length: %d",instructions[counter].size);

        if (!INFO_TABLE__update_table(&info,table)) {
            log_error("INFO_TABLE__update_table failed");
            goto l_cleanup;
        }
    }
}

Instructions 是我从 Capstone 库收到的一个数组。 Loaded_PE->存储来自客户端的PE的数据。我用入口点的地址和代码的大小——入口点来调用反汇编函数。计数器是顶点库找到的指令数。信息结构保存有关替换的信息。这是对反汇编库的调用：

    count = cs_disasm(handle,data,size_to_modify,entry_point - text_section.VirtualAddress
                    + text_section.PointerToRawData,&instructions);

现在是我的问题。我正在编写一个这样的简单程序：

int main() {

char str[] = "hello";
printf("%s\n",str);
return 0;

我从入口点开始替换指令。现在，如果我运行调试新程序的程序，我会得到打印并且一切正常。但是，如果我将替换的指令数量更改为每 10 条指令，则会出现错误。在“你好”之后，我收到了访问冲突。我查了这个访问冲突的地址后，发现程序试图读取栈上字符串地址之前的4个字节，失败了。 this is the line that try to read the location this is the string and the address that the program trying to read

我不明白为什么有时有效，有时无效。

还有一件事。如果我把程序改成这样：

int main() {

char* str = "hello";
printf("%s\n",str);
return 0;

我没有收到任何错误。我希望我能很好地解释自己。感谢您的帮助！

断点导致访问冲突

如何解决断点导致访问冲突

相关推荐