winappdbg debug + api hooking + cpu precent

我正在使用winappdbg调试，创建一个事件处理程序，该程序在连接到调试器的进程上挂钩了createfile函数。我不能使用“循环”功能，因为这种方式调试器是无法停用的，所以我使用其他功能。在看看有多少createfile调用发生后，我试图获得cpu precent的进程，并且它们自动进行到0.我认为它是因为调试器，但不知道为什么winappdbg debug + api hooking + cpu precent

while True： hooked = [ ]

eventhandelerobject = hooking4.EventReciever() 
    debugger = Debug(eventhandelerobject,False) 


    """hooking""" 
    for procid in psutil.pids(): 
     if not whitelist5.inlist(procid): 
      print procid 
      try: 
       debugger.attach(procid) 
       hooked.append(procid) 
       print "Initialized!"+str(procid) 

       errorfile.write("Initialized!"+str(procid)) 

      except Exception as ex: 
       print ex 
       errorfile.write(str(ex)+str(procid)) 
    run_time = 60 

    start = time.clock() 

    time_passed = 10 
    print "start" 
    while time.clock()-start<60: 
     ############################# 
     if time.clock()-start>time_passed: 
      for procid in psutil.pids(): 
       if not whitelist5.inlist(procid) and procid not in hooked: 
        try: 
         debugger.attach(procid) 
         hooked.append(procid) 
         print "Initialized!"+str(procid) 
        except: 
         continue 
       ###################################### 

      time_passed+=10 

     try: 
      #debugger.next() 
      event = debugger.wait(1000) 
      debugger.dispatch(event) 
      debugger.cont(event) 
     except: 
      continue 
    print "stop" 



    print "part2" 

    over_cpu_mem_id = cpu_mem4.dangerous_cpu_and_mem(0,0) 
    counter = hooking_count.Count.counterdict 
    print "counter:" 
    print counter 
    sorted_counter = sorted(counter.items(), key=operator.itemgetter(1)) 
    if over_cpu_mem_id >= 1: 
     if registry4.manage() and not whitelist5.inlist(over_cpu_mem_id): 
      print "cpu+registry , not in whitelist" 
      pid_being_suspected = over_cpu_mem_id 
      if file4.mannge(filesnumber, timeinseconds): 
       print "files are changing..." 


       if len(sorted_counter)>0: 
        most_createfiles = sorted_counter[0][1] 
        pid = sorted_counter[0][0] 
        ############################# 
        exe = psutil.Process(pid).exe() 
        print exe 
        cpuexe = psutil.Process(over_cpu_mem_id).exe() 
        print cpuexe 
        ###################### 

        if most_createfiles >= 100 and pid == over_cpu_mem_id: 
         process_control5.process_dealing(pid) 
     elif pid_being_suspected >0 and len(sorted_counter)>0: 
      most_createfiles = sorted_counter[0][1] 
      pid = sorted_counter[0][0] 
      if most_createfiles >= 100 and pid == pid_being_suspected: 
       process_control5.process_dealing(pid) 
      pid_being_suspected = -1 



    print "no danger" 


    hooking_count.Count.reset_dict() 


    time.sleep(10) 
    debugger.stop()

来源

2017-04-15 Gur

我不太清楚，因为我从来没有试图让调试的进程的CPU使用率，但我怀疑这是因为当你尝试和衡量，已调试的进程暂停。通常当你的调试器接受控制时，被调试的过程就会被冻结，因此你总会看到0％的使用率。

如果是这样的话，解决方案相当复杂。你必须写两个脚本（或者一个脚本，但是要运行两次）。一个调试目标，收集所有进程ID和正在打开的文件。另一个并行测量CPU使用率。

来源

2017-05-06 16:25:12 MarioVilas

winappdbg debug + api hooking + cpu precent

回答

相关问题