Два вопроса
1. Как сделать дамп PE с виртуальной памятью(жертва пишет часть код туда, а не в имадж) и восстановлением импорта.Scylla показывает импорт, но не дампит Вирт Память. На выходе нужен PE для анализа(а не для запуска)
2.Как увидеть LastBranchFromIP после хв бряка в ollydbg (или что советуете) под W7x64

| Сообщение посчитали полезным:

AlekId пишет:
1. Как сделать дамп PE с виртуальной памятью(жертва пишет часть код туда, а не в имадж) и восстановлением импорта.Scylla показывает импорт, но не дампит Вирт Память. На выходе нужен PE для анализа(а не для запуска)
Как вариант создать секцию и все выделения памяти перехватывать и перенаправлять туда.

| Сообщение посчитали полезным:

Недавно сталкивался с такой же херней, артаин протектор весь импорт, столенбайт и свой загрузчик пишет в аллоченую память. мало того, что аллочит раз 30, так еще и все это сдобрено толстым слоем трэша и антиотладки. Ночь просидел, не добил, плюнул...

| Сообщение посчитали полезным: