首页
社区
课程
招聘
[讨论]碰到这种,如何溯源是谁jmp到1902760?
发表于: 2022-5-23 19:55 5660

[讨论]碰到这种,如何溯源是谁jmp到1902760?

2022-5-23 19:55
5660




已知:
⑴看1902774这行:[esp+04]的值是edx赋值的,我们的目标是向上溯源edx的值是谁赋值的(仅当edx==100bd6时)
⑵步进到函数返回,对这种是不行的,因为190278C:ret返回的是1467367,而1467364并没有直接call 1902760这个地址(推测是call了另一个地址,在那里修改了edx,再jmp到1902760)

 

那么这种情况,如何找到是谁jmp到1902760的呢?有几百个函数jmp到这里,所以不知道是哪个,大虾都是如何溯源这种的?


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 2
支持
分享
最新回复 (7)
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2

再明确一下目标——当1902774和1902760处的edx==100BD6时,如何向上溯源edx值的来源? 已经知道1902760这一行也是有EDX==100BD6的情况了,但再往上呢?

2022-5-23 20:01
0
雪    币: 3537
活跃值: (5730)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
拿ida trace一下再看?
2022-5-24 06:55
0
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
来个big hand子
2022-5-24 16:44
1
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
hugehand也行
2022-5-25 12:20
1
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
Greathand子更好
2022-5-26 08:44
0
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
不来个Grandhand子看样是搞不定了
2022-5-27 08:57
0
雪    币: 4797
活跃值: (3792)
能力值: ( LV12,RANK:230 )
在线值:
发帖
回帖
粉丝
8
反向逆源,如果条件允许,用TTD调试。你放狗搜"windbg TTD"。
2022-5-27 09:19
1
游客
登录 | 注册 方可回帖
返回
//