它是一个合法的工具,但容易受到DLL侧面加载的影响:·dbgeng.dll是主要的恶意软件组件,它冒充NTSD.exe使用的合法DLL,并利用DLL侧面加载漏洞。 Public\SapphireIMSClient\config.ocs将开源工具注入合法的DLL中如前所述,NTDS.exe(SapphireIMSClient.exe)是一个合法的可执行文件,它加载了一个名为dbgeng.dll dbgeng.dll中的恶意代码有两个职责:1、将.OCS文件读入内存A) sc.ocs 一个加密的shellcod--最终有效载荷的实际反射性装载器B) config.OCS 一个加密的二进制文件--
在没有dbgeng.dll的Windows系统中,必须安装用于Windows的调试工具才能使jinfo命令正常工作,PATH环境变量应该包含jvm.dll的位置。
dbgeng+IDebugClient+IDebugControl+IDebugSymbols 第二种是使用dbgeng库和几个调试服务的组件IDebugClient/IDebugControl/IDebugSymbols BaseThreadInitThunk) [0x00007FFCAA081FD0] Frame 20: (RtlUserThreadStart) [0x00007FFCAC64EF90] Windows+MSVC使用dbgeng 所以也只能和MSVC一样使用dbghelp或者dbgeng。但是由于gcc和clang会把符号表写在二进制里而不是pdb文件里。所以解析符号必然失败。
Dbgeng.dll来进行调试 1.首先去IDA的安装目录,进入到 CFG 文件夹, 找到 ida.cfg 并且以文本文档形式打开(notpad or notepad++) 在文档中搜索 DBGTOOLS
在没有dbgeng.dll的Windows系统中,必须安装用于Windows的调试工具才能使jinfo命令正常工作,PATH环境变量应该包含jvm.dll的位置。
In Windows Systems where dbgeng.dll is not present, 'Debugging Tools for Windows' needs to be installed
这里可以直接在 OD 中加载符号来分析,使用方法是: 1、在 WingDbg 目录下拷贝 dbgeng.dll,dbghelp.dll,srcsrv.dll,symbolcheck.dll,symsrv.dll
// INTEL 80x86 PROCESSORS // // Location of Microsoft Debugging Engine Library (dbgeng.dll
在不存在dbgeng.dll的Windows系统中,需要安装'Windows调试工具',才能让这些工具工作。