-
-
[分享]分享一个找call的思路
-
发表于: 2013-7-29 12:05
-
原理其实很简单，利用异常处理来捕捉断点异常，论坛上也有很多相应的文章，例如
1. VEH-硬件断点+dll劫持内存补丁 http://bbs.pediy.com/showthread.php?t=174263
2. [开源]自己写的非附加调试的内存监视器 http://bbs.pediy.com/showthread.php?t=174704
另外我们再把3. int3断点也加上（就是函数头写个0xcc嘛）
我这里的思路就，写一个dll注入到程序里去，让dll自动去给“所有的函数”下断点。（函数可以直接利用ida的functions里面识别的函数，自己想办法把函数地址搞出来，这样就不用自己去识别函数了）
1）给“所有的函数”下断点，过滤出那种框架函数（就是你撒也不干，程序自己都还在运行的那些函数）
1.1）过滤的方法就是：异常触发以后，在异常处理程序里，把异常地址直接从“所有的函数”列表里删除，然后剩下的函数肯定就是你要手工做了什么操作，才会运行的了，把剩下的函数记作“非框架函数”
2）给“非框架函数”里的所有函数下断点，你再去进行你想要做操作
2.1）等待异常触发后，在异常处理里面，把地址添加到“结果函数”里面
3）基本上“结果函数”里的函数就是你操作的时候，会调用的函数。
其实方法有点类似ce里面的找地址一样，先找出一大片，然后再不停的过滤过滤， 原理就相当于是把debug_event替换成了exception_event, 然后自动的去下断点，记录断点，删断点。
===
不敢自称原创，主要是看的文章少
，不知道是否出现过这类文章，仅作抛砖引玉之用。。。
1. VEH-硬件断点+dll劫持内存补丁 http://bbs.pediy.com/showthread.php?t=174263
2. [开源]自己写的非附加调试的内存监视器 http://bbs.pediy.com/showthread.php?t=174704
另外我们再把3. int3断点也加上（就是函数头写个0xcc嘛）
我这里的思路就，写一个dll注入到程序里去，让dll自动去给“所有的函数”下断点。（函数可以直接利用ida的functions里面识别的函数，自己想办法把函数地址搞出来，这样就不用自己去识别函数了）
1）给“所有的函数”下断点，过滤出那种框架函数（就是你撒也不干，程序自己都还在运行的那些函数）
1.1）过滤的方法就是：异常触发以后，在异常处理程序里，把异常地址直接从“所有的函数”列表里删除，然后剩下的函数肯定就是你要手工做了什么操作，才会运行的了，把剩下的函数记作“非框架函数”
2）给“非框架函数”里的所有函数下断点，你再去进行你想要做操作
2.1）等待异常触发后，在异常处理里面，把地址添加到“结果函数”里面
3）基本上“结果函数”里的函数就是你操作的时候，会调用的函数。
其实方法有点类似ce里面的找地址一样，先找出一大片，然后再不停的过滤过滤， 原理就相当于是把debug_event替换成了exception_event, 然后自动的去下断点，记录断点，删断点。
===
不敢自称原创，主要是看的文章少
，不知道是否出现过这类文章，仅作抛砖引玉之用。。。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
是的，就是利用异常处理来捕捉断点，核心在于自动下断点 记录断点，删断点，反正也不知道会调用什么函数，干脆把所有函数都下上断点，让丫去触发吧。
另外我觉得OD脚本或者插件肯定也可以相应的功能（自动 -> 设断点，记录断点，删断点 ），只不过我不会
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我试过写一个 ida 插件来监视函数调用，搞了后来发觉问题还不少，也没接着搞。。
原理都差不多，先 hook ida 的中断处理函数，然后在exe启动或者attach时候，插件会反汇编那些"感兴趣"的模块，分析并记录模块中所有 call 起始地址到一个 std::map 中，然后去掉 call 起始1字节的执行权限。当这个 call 被调用时，ida 会中断，调用我们的中断 hook 函数，在 hook 里删除 std::map 中的地址，并恢复函数头的执行权限，然后把 eip 往回退一条指令，让 ida 继续执行 不光可以根据call，还可以根据所有执行分支，写一个找分支算法即可。。 最开始用的是 int3 断点，然后发觉找call算法写得不太靠谱。。把一些数据和跳转表也被改成0xCC导致错误，后来就改用去除exec权限。 比如找 win7 的 calc 乘法call  附件的 .plw 放到 ida/plugins 下，调试时 鼠标点一下ida的代码区域，然后按快捷键alt+T启用插件，那个libgccxxxxx.dll 是 MinGW 运行库，是用 MinGW 编译的， 只是个简单框架 |
|
|
这个应该算是函数识别的问题吧，我是直接在ida的functions window里面拷出来的，而且那些识别出来的库函数也不用管，基本只考虑sub_开头的函数。你会写ida插件，那OD插件估计也会吧，OD中实现类似的功能复不复杂
另外针对楼上回复的，什么crc检测啊，游戏不让设置异常（游戏不让的事情多了，OD也要考虑crc吧，游戏上不好用，可以拿去找软件的call嘛，定位按钮事件撒的也不错），找出一大堆结果（嫌结果多的话，你可以第一个断点触发后，就取消所有断点，只记录第一个断点，然后再结合OD慢慢处理） 这个思路是用来搞个小工具玩玩而已，要想更实用，如何做到方便操作，功能做全才是难点，譬如去把堆栈信息也打印出来（监控指定api，把参数都搞出来，监控个send抓抓包玩），
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
