[求助]Mdebug如何找到函数是从哪里CAll来的-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (6)
loqich 雪币： 962 活跃值： (1681) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 642 粉丝 0 关注私信	loqich 2 楼看[esp]........ 2013-7-16 22:30 0
sssprite 雪币： 195 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	sssprite 3 楼 [QUOTE=loqich;1199570]看[esp]........[/QUOTE] 能说一下具体是咋看吗？？我对比了一下OD，EIP里的数据根返回地值或是调用地址没有什么关系啊！！ 2013-7-16 22:41 0
Rookietp 雪币： 1042 活跃值： (470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 795 粉丝 2 关注私信	Rookietp 4 楼 call 指令会压栈它的下一条指令~ 2013-7-17 10:18 0
遗失灵魂雪币： 220 活跃值： (117) 能力值： ( LV4，RANK：50 ) 在线值：发帖 22 回帖 372 粉丝 0 关注私信	遗失灵魂 5 楼不是EIP是ESP 栈顶指针寄存器调用到该函数一般是用call 而call的时候会将返回地址入栈也就是说 call相当于 push backAdd jmp ×××× 所以自己的函数的开头会执行 push ebp mov ebp,esp 以平衡栈这时候。ebp就等于之前的esp 而[esp + 4] (esp栈顶因为push ebp 所以esp指向的地址是保存的ebp 所以+4指向返回地址在自己函数中获取自己返回地址就是ebp + 4) 也就是返回地址了因为开头有执行push ebp 所以[ebp]的值其实是原本的ebp的值。需要+4以获取上一条记录 2013-7-18 07:24 0
YFLK 雪币： 253 活跃值： (89) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 150 粉丝 0 关注私信	YFLK 6 楼如果是长跳转，这样的方法好象不行。但多数情况下还是可以的！ 2013-7-18 08:24 0
sssprite 雪币： 195 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	sssprite 7 楼谢谢大家的讲解！！！！ 2013-7-24 17:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (6)
loqich 雪币： 962 活跃值： (1681) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 642 粉丝 0 关注私信	loqich 2 楼看[esp]........ 2013-7-16 22:30 0
sssprite 雪币： 195 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	sssprite 3 楼 [QUOTE=loqich;1199570]看[esp]........[/QUOTE] 能说一下具体是咋看吗？？我对比了一下OD，EIP里的数据根返回地值或是调用地址没有什么关系啊！！ 2013-7-16 22:41 0
Rookietp 雪币： 1042 活跃值： (470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 795 粉丝 2 关注私信	Rookietp 4 楼 call 指令会压栈它的下一条指令~ 2013-7-17 10:18 0
遗失灵魂雪币： 220 活跃值： (117) 能力值： ( LV4，RANK：50 ) 在线值：发帖 22 回帖 372 粉丝 0 关注私信	遗失灵魂 5 楼不是EIP是ESP 栈顶指针寄存器调用到该函数一般是用call 而call的时候会将返回地址入栈也就是说 call相当于 push backAdd jmp ×××× 所以自己的函数的开头会执行 push ebp mov ebp,esp 以平衡栈这时候。ebp就等于之前的esp 而[esp + 4] (esp栈顶因为push ebp 所以esp指向的地址是保存的ebp 所以+4指向返回地址在自己函数中获取自己返回地址就是ebp + 4) 也就是返回地址了因为开头有执行push ebp 所以[ebp]的值其实是原本的ebp的值。需要+4以获取上一条记录 2013-7-18 07:24 0
YFLK 雪币： 253 活跃值： (89) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 150 粉丝 0 关注私信	YFLK 6 楼如果是长跳转，这样的方法好象不行。但多数情况下还是可以的！ 2013-7-18 08:24 0
sssprite 雪币： 195 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	sssprite 7 楼谢谢大家的讲解！！！！ 2013-7-24 17:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复