首页
社区
课程
招聘
一个跟踪程序时方便实用的小技巧
发表于: 2005-6-15 14:27 6112

一个跟踪程序时方便实用的小技巧

2005-6-15 14:27
6112
在下初来乍到,位列菜鸟,前来跟随众牛人学艺,日后还望多多关照。一无所长,无以进献,只好拿点破玩意搪塞诸位,诸位切莫嗤笑。
    以前分析程序时,时常碰到有程序不能在入口点中断,改用修改首字节的办法。用得多了,就碰到有些不允许改的程序,可能是因为程序完整性的问题。后来,被我无意中发现了系统向应用程序移交控制权的关键点。在WIN98下,包括系统进程之间的传递,无一例外,统统截获。
    我通常是首先设断:BPX BFF743B5 IF EAX==程序入口,这样,不管程序采用任何手段,我都可以保证在它的入口处中断;早期,在WIN97下,是BPX BFF744BE IF EAX==程序入口;在WINXP下,又变成了BPX GETCOMMANDLINEW+00ED IF EAX==程序入口。但是,由于NT系统的运行机制不同吧,在xp下便不如在98下得心应手,所以,除非万不得已,我至今仍然转到98下进行程序分析。
    如果不加条件,只是简单的设断:BPX BFF743B5 ,就会依次停留在每一个相关调用的入口点,这个用法也是非常有用的,使我很容易掌握,应用程序在何时调用了那个相关程序,包括所有DLL的调用。
    把这个问题单独作为一个帖子,显得有些太短小了,也是因为这事说起来,其实很简单。我也一时不知道顺便再扯些什么,且将就这样吧,呵呵。
    这本是我的不传之密,在此奉献出来,供众位同好交流。

[课程]FART 脱壳王!加量不加价!FART作者讲授!

收藏
免费 0
支持
分享
最新回复 (16)
雪    币: 44229
活跃值: (19965)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
2
欢迎你的加入,并感谢你能与我们分享这些经验。
2005-6-15 14:46
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
好好,你是我所敬仰的前辈,日后还要多有讨扰。可不要嫌弃呀
2005-6-15 14:53
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
你虽刚来,确有所长,佩服.看来我要赶快学才行.
2005-6-17 19:16
0
雪    币: 205
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
谁能讲讲原理么?
2005-6-17 19:35
0
雪    币: 603
活跃值: (617)
能力值: ( LV12,RANK:660 )
在线值:
发帖
回帖
粉丝
6
欢迎再详细一些!  
2005-6-17 19:58
0
雪    币: 110
活跃值: (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
顶一下,好贴就应该顶
2005-6-18 21:57
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
学习中
2005-6-19 13:54
0
雪    币: 108
活跃值: (42)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
精髓何在?
2005-6-19 14:20
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
最初由 闪电狼 发布
精髓何在?

所有调试程序,都是面向对象的,所以,总是停留在程序入口点,但是,利用这个中断点,我们却可以停留在程序入口的前一步,感兴趣的朋友可以实际操作一下,去体会它的妙处。凭借这个中断,在使用S-ICE时,我从不借助Symbol Loader,因为它比Symbol Loader更忠实的完成我的指令。特别是,很多程序在运行时都会调用一些dll,exe,这时任何调试程序都无法在主程序运行中,还能中断在这些程序的入口,这个中断点,恰恰是做这个用的。
2005-6-23 02:21
0
雪    币: 108
活跃值: (42)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
有点明白了~~~

谢谢
2005-6-23 09:58
0
雪    币: 339
活跃值: (1510)
能力值: ( LV13,RANK:970 )
在线值:
发帖
回帖
粉丝
12
牛人,俺就听说过win97,从来没见过呢
2005-6-23 10:10
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
那里呀,兄弟你才堪称牛人,我最没出息了,老不长个。
2005-6-23 10:31
0
雪    币: 431
活跃值: (442)
能力值: ( LV12,RANK:530 )
在线值:
发帖
回帖
粉丝
14
最初由 nbw 发布
牛人,俺就听说过win97,从来没见过呢


95osr2,俺用了5年……
2005-6-23 10:42
0
雪    币: 234
活跃值: (370)
能力值: ( LV9,RANK:530 )
在线值:
发帖
回帖
粉丝
15
又长见识了
2005-6-23 10:54
0
雪    币: 427
活跃值: (40)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
16
最初由 炸弹宝宝 发布
在下初来乍到,位列菜鸟,前来跟随众牛人学艺,日后还望多多关照。一无所长,无以进献,只好拿点破玩意搪塞诸位,诸位切莫嗤笑。
........


宝宝可真是厉害啊,刚开始看帖子的时候还没发现是你发的帖子,往下看了几个才看见你的名字,,,呵呵   知道我是谁吗??

先猜猜看..
2005-6-24 01:45
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
呵呵,是老狼兄弟,原来你早在这里,却一直不跟我透露。
2005-6-24 07:58
0
游客
登录 | 注册 方可回帖
返回
//