Author deroko
Date Monday 25 May 2009 - 06:36:11

xtracer is TLB memory tracer. It tries to locate first break in code section of traced process using split TLB which is available in intel architecture. This code can be used to locate OEP of traced process easily. Full source is included for learning purposes (code and tool released under GPL 3.0).

www.accessroot.com/arteam/site/request.php?309

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan пишет:
It tries to locate first break
Что за первый бряк такой?

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

Hexxx пишет:
Что за первый бряк такой?
Очевидно что бряк на секцию кода через TLB + проверка того что EIP при бряке лежит в пределах секции кода.

-----
Research For Food

| Сообщение посчитали полезным:

огорчило кое-что в ридми:
Also note that you must have internet connection
as code is using my SymbolFinder class to locate some symbols from
ntoskrnl.exe
т.е. в дороге с ноутом уже не поюзаешь... =(
кто-нибудь уже пробовал?

-----
Do Not Get Mad Get Money! ;)

| Сообщение посчитали полезным:

@Talula: Подключение к интернету нужно лишь в первый раз, чтобы скачать PDB файл к ntoskrnl.exe (Сохраняет в C:\Symbols\). Потом можно работать и без сети.

Огорчает то, что софтина только показывает возможный OEP, а больше ничего не делает..

| Сообщение посчитали полезным: