首页
社区
课程
招聘
[旧帖] [求助]Windbg中遇到的一个奇怪问题 0.00雪花
发表于: 2012-2-19 21:09 1531

[旧帖] [求助]Windbg中遇到的一个奇怪问题 0.00雪花

2012-2-19 21:09
1531
本人初用Windbg遇到了一个奇怪的现象,希望知道的朋友解释下,谢谢
lkd> u a57474f0a57474f0 eb0a            jmp     a57474fc
a57474f2 8b45e8          mov     eax,dword ptr [ebp-18h]
a57474f5 8b00            mov     eax,dword ptr [eax]
a57474f7 8945e8          mov     dword ptr [ebp-18h],eax
a57474fa ebc5            jmp     a57474c1
a57474fc 8a55e7          mov     dl,byte ptr [ebp-19h]
a57474ff b9aced74a5      mov     ecx,0A574EDACh
a5747504 ff1514a074a5    call    dword ptr ds:[0A574A014h]
lkd> uf a57474f0nt!ObOpenObjectByPointer:
805bccb0 8bff            mov     edi,edi
805bccb2 55              push    ebp
805bccb3 8bec            mov     ebp,esp
805bccb5 81ec94000000    sub     esp,94h
805bccbb 53              push    ebx
805bccbc 8b5d08          mov     ebx,dword ptr [ebp+8]
805bccbf 56              push    esi
805bccc0 57              push    edi
805bccc1 ff751c          push    dword ptr [ebp+1Ch]

这两个命令显示出来的内容不一样,不知道为什么……
要说是u和uf命令的区别 我到认了

lkd> uf a57474f0nt!ObOpenObjectByPointer:
805bccb0 8bff            mov     edi,edi
805bccb2 55              push    ebp
805bccb3 8bec            mov     ebp,esp
805bccb5 81ec94000000    sub     esp,94h
805bccbb 53              push    ebx
805bccbc 8b5d08          mov     ebx,dword ptr [ebp+8]
805bccbf 56              push    esi
805bccc0 57              push    edi
805bccc1 ff751c          push    dword ptr [ebp+1Ch]

lkd> uf a574745ent!ObOpenObjectByPointer:
805bccb0 8bff            mov     edi,edi
805bccb2 55              push    ebp
805bccb3 8bec            mov     ebp,esp
805bccb5 81ec94000000    sub     esp,94h
805bccbb 53              push    ebx
805bccbc 8b5d08          mov     ebx,dword ptr [ebp+8]

这两个命令相同 后面的地址不同 显示的内容也是一样的……这究竟是怎么回事!把我搞晕了

[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

收藏
免费 0
支持
分享
最新回复 (1)
雪    币: 1708
活跃值: (586)
能力值: ( LV15,RANK:670 )
在线值:
发帖
回帖
粉丝
2
u 是反汇编一个地址,参数是一个数字,就是要开始反汇编的地址。
uf 是反汇编一个函数,如果传入的是一个地址,会先解析这个地址所属的符号。

u 0xa57474f0,  从 0xa57474f0 开始反汇编。
uf 0xa574745e,  0xa574745e 是属于 nt!ObOpenObjectByPointer 的地址,所以就反汇编 nt!ObOpenObjectByPointer。
2012-2-19 22:09
0
游客
登录 | 注册 方可回帖
返回
//