Immunity Debugger

[vaxavan]

Пишу скрипт под Immunity Debugger. В скрипте использую setHardwareBreakpoint() - immunity показывет,что бряк сработал в модуле ntdll,но регистр EIP не поменялся (перед срабатыванием и после : значение одно и тоже). Как поставить бряк в main module процесса и отследить, что он сработал???
И что не так делаю:

regs = imm.getRegs()
for reg in regs:
imm.log("Register %s : 0x%08X " % (reg,regs[reg]))
teb = imm.getCurrentTEBAddress()
imm.setHardwareBreakpoint( teb, 2, 2)
imm.run()
for reg in regs:
imm.log("Register %s : 0x%08X " % (reg,regs[reg]))

[root]

Пишу скрипт под Immunity Debugger. В скрипте использую setHardwareBreakpoint() - immunity показывет,что бряк сработал в модуле ntdll,но регистр EIP не поменялся (перед срабатыванием и после : значение одно и тоже).

После "imm.run()" не хватает вызова "regs = imm.getRegs()".

Как поставить бряк в main module процесса

Что такое "main module"? EP? Тогда, так:

name = imm.getDebuggedName()
mod = imm.getModule(name)
ep = mod.getEntry()

imm.setHardwareBreakpoint(ep)

и отследить, что он сработал???

Если любой бряк сработает, то "imm.run()" прекратит свою работу. Для проверки того, что сработал именно твой бряк - проверяй по EIP.

[vaxavan]

Спасибо большое.
Вот, и ещё один вопрос возник - как удалить аппаратный бряк(setHardwarebreakpoint(...))??
Ведь disableBreakpoint() и deleteBreakpoint() применяются для обычных брейкпоинтов...

[root]

В ручную... А так самому интересно, по крайней мере, в сорцах такой функции нет.