В деле исследователя программ я еще очень зеленый новичок.
Столкнулся с проблемой следующего характера:
Отладчик стал показывать адреса не как раньше например: 004235E1, а теперь 776D0EF0.
При этом, при поиске межмодульных вызовов не выводятся все функции, например в одном exe есть GetDriveTypeA, а теперь при поиске этой функции нет. Такая ситуация наблюдается в Ollydbg, x32dbg, SND.
Просто мне не понятно почему раньше все нормально открывалось, а сейчас непонятно что.

| Сообщение посчитали полезным:

Ты копаешь не в секции кода твоей программы, а в системной либе

| Сообщение посчитали полезным:

TryAga1n пишет:
Ты копаешь не в секции кода твоей программы, а в системной либе
Просто раньше открывал exe через например x32dbg, адреса были типа 004235E1, сейчас они другие. Мне не понятно почему так стало.
И сейчас пробую сохранять правленый exe, сохраняется совсем не похожий на оригинальный exe, размер в 2 раза больше.

| Сообщение посчитали полезным:

OllyDbg->DebuggingOptions->Events->MakeFirstPauseAt = "SystemBreakPoint".
Check this, must be = "EntryPointOfMainModule"

| Сообщение посчитали полезным:

dosprog пишет:
Check this, must be = "EntryPointOfMainModule"
Нет, все так же, не помогло. Может где то какие то файлы временные создаются и теперь какой то конфликт.

| Сообщение посчитали полезным:

Romanzo пишет: Отладчик стал показывать адреса не как раньше например: 004235E1, а теперь 776D0EF0

Раз новичок, самый простой способ решения, удалить файл настроек отладчика и плагинов\хайдеров если они есть, профит. В будущем не трогать настройки если не уверенны, что делает та или иная опция.

| Сообщение посчитали полезным:

shellstorm, могу конечно ошибаться, но x32dbg "с коробки" при запуске отладки стопорится где то в ntdll, а не в EP отлаживаемой программы.

| Сообщение посчитали полезным:

Adler пишет: shellstorm, могу конечно ошибаться, но x32dbg "с коробки" при запуске отладки стопорится где то в ntdll, а не в EP отлаживаемой программы.

Да, по умолчанию останавливается на ntdll и это в принципе видно по коду, и адресам. У меня и в olly настроено так, чтобы останавливалось на ntdll с tls, все же неплохо перед тем, как что то грузить, видеть, что грузится. В опциях некоторых хайдеров есть остановка на ntdll, поэтому и посоветовать откатиться на заводские настройки, раз возникают проблемы.

| Сообщение посчитали полезным:

shellstorm пишет:
посоветовать откатиться на заводские настройки, раз возникают проблемы.
Ладно бы проблема была в только в Olly то да, сброс поможет. Но во всех отладчиках такая ситуация. Мне кажется, где то в системе какой то сбой.

| Сообщение посчитали полезным:

А мне кажется пора уже выложить скрины

| Сообщение посчитали полезным:

TryAga1n пишет:
А мне кажется пора уже выложить скрины
"Уже пора" было ~10 постов назад

Покажите уже ваши чудеса в решете.
P.S.
Полноразмерные скрины окна отладчика.
В идеале еще и поциента укажите (мало ли).

| Сообщение посчитали полезным:

Romanzo

> Отладчик стал показывать адреса не как раньше например: 004235E1, а теперь 776D0EF0.
> Но во всех отладчиках такая ситуация. Мне кажется, где то в системе какой то сбой.

Тоесть вместо обычного образа, каким то образом у вас появились адреса из верхней памяти - это невозможно. Тоесть по вашему загрузчик начал грузить модуля в топ мем, нет он это не может.

Вообще откуда взялись эти адреса и с чем их связать, где карта памяти ??

И снова нужно доставать хрустальный шар, будем гадать.

Тоесть карту памяти в отладчике вы посмотреть не можите по какой то причине, по вашему это не нужно. Тогда по какой то причине где то вы раньше видели один адрес, а теперь видите совершенно иной. Тогда получается вы не туда смотрите. А те адреса, которые вы видите зависят от фазы луны.

-----
vx

| Сообщение посчитали полезным:

Вот как было и как теперь. exe один тот же
--> Link <--

| Сообщение посчитали полезным:

-del-

-----
Don_t hate the cracker - hate the code.

| Сообщение посчитали полезным:

ЛОЛ
--> Link <--
Выделил красным куда смотреть...

Для счастья надо убрать галку тут

| Сообщение посчитали полезным: Romanzo

Adler пишет:
Для счастья надо убрать галку тут
Да, счастье есть. Спасибо.
Какая же глупая была проблема....

| Сообщение посчитали полезным:

На этом можно закрыть, видимо.

| Сообщение посчитали полезным: