如何使用IDA调试由其他程序启动的进程

• 拦截CreateProcess并挂起子进程：在IDA中给CreateProcessA或CreateProcessW下断点，当start.exe触发断点时，修改dwCreationFlags参数，添加CREATE_SUSPENDED标记。这样main.exe会被创建但处于挂起状态，你可以从容在IDA中附加它，之后调用ResumeThread恢复其执行。
• 开启IDA自动调试子进程：打开IDA调试器设置，找到“自动调试子进程”选项并启用。这样当start.exe创建main.exe时，IDA会自动附加到新进程，无需手动操作。
• 给start.exe添加延时逻辑：在IDA中定位到CreateProcess调用的前一条指令，插入Sleep(5000)（汇编对应push 1388; call Sleep），让start.exe在启动main.exe前等待5秒，给你留出足够时间手动附加。修改后可以直接在IDA中运行，或者patch二进制文件保存后再启动。
• 直接启动main.exe并传入参数：在start.exe的CreateProcess断点处，提取lpCommandLine参数的内容（即处理后的X、Y参数），然后直接用IDA加载main.exe，在调试启动时设置对应的命令行参数，跳过start.exe的启动流程。

内容的提问来源于stack exchange，提问作者BadProgrammer