[HILFE] Olly startet Prog beim Öffnen

Q

QuickNick

0
Hallo,
ich habe mir die ersten 7 Tuts von Lena angeschaut und wollte jetzt selber etwas ausprobieren.

Ich habe folgendes Problem:
Wenn ich das Programm in Olly öffne, wird zuerst ganz normal in der unteren Zeile "Module C: ... " angezeigt, bleibt dann jedoch bei der WSOCK32.dll stehen. Kurz danach öffnet sich das Fenster des Programms.

Wenn ich jetzt bei Olly auf Pause drücke oder das Programm schließe, landet Olly bei der ntdll.

Meine Fragen sind jetzt:
Wie komme ich in den Code des Programms? (Also nicht in die ntdll)
Wie kann ich verhindern, dass das Programm ausgeführt wird damit ich mir auch den Code am Anfang Step by Step angucken kann?

ThX schonmal

greetz
Nick
 
Schau nach, ob unter Debugoptionen (ALT+O) ->Events nur "make first pause on entry Point of main module" markiert ist. Bei der Spalte "Exception" (direkt neben "Events") ersmal überall ein Häckchen reinmachen und das ganze natürlich erstmal mit Calc.exe oder Notepad.exe testen.
 
Danke für den Tipp,
nur leider ist alles schon genau so wie du es gesagt hast.

Mit Notepad / Calc funktioniert es einwandfrei.
 
Da gibt es mehrere Möglichkeiten: zum einen ist die Winsock.DLL "anders" (eventuell durch irgendwelche "Sicherheitssoftware" verändert?). Zum anderen kann man eine Programmoberfläche auch in eine DLL stecken - wenn die geladen wurde, erscheint die GUI. Zum dritten gibt es TLS Callbacks - eine Möglichkeit, Code auszuführen, noch bevor der eigentliche Code der Executable ausgeführt wird (bitte nicht nach dem tieferen Sinn dieser Möglichkeit des PE-Formats fragen ;). ). Um TLS Callbacks zu erwischen eignet sich das Plugin "Olly Advanced" ganz gut. Und natürlich kann es sich um eine Protection handeln, die z.B mittels TLS Callbacks oder DLLs erstmal prüft, ob ein Breakpoint auf dem eigentlichen Entrypoint platziert wurde und je nach Einstellungen diesen nur entfernt (ohne den Debugger zu schließen). Die meisten dieser Möglichkeiten sind nicht ganz so anfängerfreundlich. Eventuell ist die Ursache auch viel simpler (also einfach mal andere Antworten abwarten - aber zur Sicherheit könntest du ja PEID oder RDG verwenden und die Exe nach "Sicherheitsmaßnahmen" scannen).
 
Nagut, war ja auch nur ein Test. Dann muss ich mir halt was andres suchen.

Vllt hat ja doch noch jemand eine simplere Idee worans liegen könnte.

btw: Mit PEiD hab ich nichts gefunden. Alledings gibts da ja tausende Plugins die ich alle nicht hab :D

trotzdem Danke CDW

greetz, Nick
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben