-
-
[讨论]脱壳时ESP定律为何不能下内存访问断点？
-
发表于: 2020-2-22 14:18
-
《加密与解密》一书中利用堆栈平衡原理找OEP时，下的都是硬件断点（硬件访问断点和硬件写断点）。
但我觉得最后的POPAD都是对内存的访问，应该内存访问断点也能断下来呀，可实际操作没能断下来
下面是我的具体操作：
1、F8到000D7171处，此时ESP = 0025FAF8，在数据窗口下内存访问断点
2、F9运行，要等好一会儿，出现下图情况
还请知道的兄弟赐教？
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
感谢Lixinist兄，看了那篇blog后，对于为什么要运行好久我可能懂了，内存断点是设置整个页属性然后一一作比较，所以效率比较低 我理解popad指令也是会对内存进行访问的，但我通过OD做实验，发现还是没办法断在popad指令上
|
|
|
内存断点，可能会断在同一个页面的其他地址上，要多次F9，才能到达我们想要的地址上。至于为什么会崩掉呢？我也没搞懂为什么。在Win10上使用内存断点这个操作是不会崩的。但是在Win7上却崩掉了，于是我把OD接受调试异常都打开。发现在这里产生了访问异常。但这俩地址并不是在同一页面上的。所以你的内存断点并没有断下来，而因为产生了异常所以你的程序崩溃了。但问题又来了，为什么会在这里产生异常呢？我也很奇怪。我尝试了一下：如果不下内存断点的话，这里本来是可以写入的。但是下了内存断点的话，这里就并没有写入的权限，导致了异常。所以我也很奇怪，为什么Win10上可以，而Win7上却不可以。希望后续有人可以回答我这个疑惑，谢谢。不过总结一句：esp定律那里最好不要用内存断点。
|
|
|
应该没人对栈用内存断点吧。 这点不用深究。 而且od因为一些奇奇怪怪的原因，的确是会出现莫名其妙的崩溃。 推荐用x64dbg |
|
|
|
|
|
|
|
|
其实我一直在想有没有可能是UPX壳对内存页的属性做了设置 |
|
|
|
|
|
我在win10下试了下没有崩，令我意外的是居然断在了UPX壳的最后一句jmp xxxxxxxx上，我只能呵呵呵了，不管怎样，还是要谢谢你 |
lracker
