[求助]想自己写个调试器，遇到一些问题-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (10)
jerrylhj 雪币： 349 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 394 粉丝 0 关注私信	jerrylhj 2011-9-6 11:56 2 楼 0 SMC，可能是判断mov或pop操作的是否是代码段，以及代码段是否可写。关于int3,我的测试是：对其SMC,OD的显示不变，但是断点已经失效了。
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-7 00:56 3 楼 0 谢谢楼上的提示，但是如果是判断之林操作的是否是代码段是不是太麻烦了？而且我试了下用CE之类的内存修改器修改程序的话，OD还是会在你切换回OD的时候更正反汇编代码，这个如何做到呢？
OrochiZ 雪币： 113 活跃值： (28) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 77 粉丝 0 关注私信	OrochiZ 2011-9-7 04:41 4 楼 0 因为OD分析的是内存
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-7 13:14 5 楼 0 我也知道他更新显示的时候是照着进程内存的数据更新的，但是他如何知道更新那一部分呢？难道要每次中断到调试器之后都把所有的反汇编数据都更新一遍？
牛皮哄哄雪币： 120 活跃值： (55) 能力值： ( LV3，RANK：20 ) 在线值：发帖 45 回帖 131 粉丝 0 关注私信	牛皮哄哄 2011-9-18 10:48 6 楼 0 hook WriteProcessMemory(debuggeePID)等->捕获->判断->刷新UI
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-18 21:15 7 楼 0 进程要修改自身的代码不用WriteProcessMemory，只要段可写，用mov指令就可以了呀
bitt 雪币： 433 活跃值： (1102) 能力值： ( LV13，RANK：388 ) 在线值：发帖 28 回帖 639 粉丝 18 关注私信	bitt 5 2011-9-18 21:32 8 楼 0 eip或者cpu窗口指向哪里就实时分析那一段的内存 cpu窗口以外的内存可以暂时不分析，反正也看不到
bitt 雪币： 433 活跃值： (1102) 能力值： ( LV13，RANK：388 ) 在线值：发帖 28 回帖 639 粉丝 18 关注私信	bitt 5 2011-9-18 21:38 9 楼 0 第二个问题对于cc断点 od只记录位置如果断点位置内存被修改那断点就失效了因为od自己不能拦截判断这种修改，内存访问软断点的代价太大了断点检测就是这个原理
牛皮哄哄雪币： 120 活跃值： (55) 能力值： ( LV3，RANK：20 ) 在线值：发帖 45 回帖 131 粉丝 0 关注私信	牛皮哄哄 2011-9-19 10:09 10 楼 0 近一年没接触逆向工程了,那些都不清楚了楼上说的挺不错,只刷新eip附近一条或几条代价就比较小了;OD是不是全刷新期待老手再抽时间再把OD这部分逆出来
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-19 13:37 11 楼 0 十分感谢bitt前辈的指导
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复

最新回复 (10)
jerrylhj 雪币： 349 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 394 粉丝 0 关注私信	jerrylhj 2011-9-6 11:56 2 楼 0 SMC，可能是判断mov或pop操作的是否是代码段，以及代码段是否可写。关于int3,我的测试是：对其SMC,OD的显示不变，但是断点已经失效了。
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-7 00:56 3 楼 0 谢谢楼上的提示，但是如果是判断之林操作的是否是代码段是不是太麻烦了？而且我试了下用CE之类的内存修改器修改程序的话，OD还是会在你切换回OD的时候更正反汇编代码，这个如何做到呢？
OrochiZ 雪币： 113 活跃值： (28) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 77 粉丝 0 关注私信	OrochiZ 2011-9-7 04:41 4 楼 0 因为OD分析的是内存
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-7 13:14 5 楼 0 我也知道他更新显示的时候是照着进程内存的数据更新的，但是他如何知道更新那一部分呢？难道要每次中断到调试器之后都把所有的反汇编数据都更新一遍？
牛皮哄哄雪币： 120 活跃值： (55) 能力值： ( LV3，RANK：20 ) 在线值：发帖 45 回帖 131 粉丝 0 关注私信	牛皮哄哄 2011-9-18 10:48 6 楼 0 hook WriteProcessMemory(debuggeePID)等->捕获->判断->刷新UI
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-18 21:15 7 楼 0 进程要修改自身的代码不用WriteProcessMemory，只要段可写，用mov指令就可以了呀
bitt 雪币： 433 活跃值： (1102) 能力值： ( LV13，RANK：388 ) 在线值：发帖 28 回帖 639 粉丝 18 关注私信	bitt 5 2011-9-18 21:32 8 楼 0 eip或者cpu窗口指向哪里就实时分析那一段的内存 cpu窗口以外的内存可以暂时不分析，反正也看不到
bitt 雪币： 433 活跃值： (1102) 能力值： ( LV13，RANK：388 ) 在线值：发帖 28 回帖 639 粉丝 18 关注私信	bitt 5 2011-9-18 21:38 9 楼 0 第二个问题对于cc断点 od只记录位置如果断点位置内存被修改那断点就失效了因为od自己不能拦截判断这种修改，内存访问软断点的代价太大了断点检测就是这个原理
牛皮哄哄雪币： 120 活跃值： (55) 能力值： ( LV3，RANK：20 ) 在线值：发帖 45 回帖 131 粉丝 0 关注私信	牛皮哄哄 2011-9-19 10:09 10 楼 0 近一年没接触逆向工程了,那些都不清楚了楼上说的挺不错,只刷新eip附近一条或几条代价就比较小了;OD是不是全刷新期待老手再抽时间再把OD这部分逆出来
xingjunjie 雪币： 172 活跃值： (553) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 160 粉丝 2 关注私信	xingjunjie 2011-9-19 13:37 11 楼 0 十分感谢bitt前辈的指导
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复