TitanHide：NtQueryObject：1

mathoo · 发表于 2022-11-6 16:12

本帖最后由 mathoo 于 2022-11-6 16:13 编辑

各位大神好，新人刚刚下海。抱着不懂就古歌，古歌不到就请教大神的态度。向大神们请教一下。

尝试某款程序逆向调试的过程中，发现该程序是有壳的，同时含有反调试代码。

浅学了贴吧一些知识，三步走的流程已经走到反调试这一阶段，我用的是TitanHide工具，已经关闭了PatchGuard. 服务已经运行的情况下，打开x86odb 调试某款程序，NtQueryObject 这个无法避开。（NtQueryObject：1），想请求并请教一下各位大神，这个该如何修改此值变成0？

十分感谢您的耐心解答。

爱飞的猫 · 发表于 2022-11-24 03:13

NtQueryObject 下硬件执行断点，返回的时候手动改。

mathoo · 发表于 2023-1-8 22:35

爱飞的猫发表于 2022-11-24 03:13
NtQueryObject 下硬件执行断点，返回的时候手动改。

谢谢大神！我尝试一下

mathoo · 发表于 2023-1-8 22:36

爱飞的猫发表于 2022-11-24 03:13
NtQueryObject 下硬件执行断点，返回的时候手动改。

请问是手动修改哪个部分哈？

Halin_Anline · 发表于 2023-1-10 23:06

mathoo 发表于 2023-1-8 22:36
请问是手动修改哪个部分哈？

eip 下面的几个参数（0/1），至于哪个我问没研究过

帐号		自动登录	找回密码
密码			注册[Register]

[求助] TitanHide：NtQueryObject：1