-
-
[原创]x64dbg快速找call插件
-
2023-7-9 22:55
-
不知道各位调试GUI程序时，想定位某个功能的代码一般是用什么方式呢？通常我们会根据经验在某个系统API下断，然后栈回溯往上找关键call。
为了简化这个过程，我借鉴cheat engine找数据的方法，开发了一个找call的调试器插件。插件原理是扫描用户模块（exe+dll）中的函数，然后设置breakif(0)的条件断点，这样就可以获取函数被调用的次数。随后我们触发一次某个功能，就搜索一次调用次数，这样很快就能找到关键call。
下面是用法演示：
比如我们想知道winspy++程序是如何枚举窗口的，最直接的方式就是找到"Refresh"按钮的点击事件：
先让程序跑起来，然后调出插件，点击"scan functions"按钮，默认会以“快速模式”扫描主模块中的函数并下断点：
然后我们点击一次"Refresh"按钮，在call count文本编辑框输入1，再点击search：
这样就把范围缩小到4个函数，只需要手工确认一下就可以发现第二个函数就是我们想找的关键call：
整个过程只花了一分钟，关键是不怎么费脑子~~
编译好的插件dp32、dp64只需复制到x64dbg插件目录即可。
源码链接如下：
https://github.com/Kwansy98/x64dbgCallFinder
建议去github下载最新版本的二进制文件，看雪这边的附件可能不会及时更新。
[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界
最后于 2023-9-27 23:49
被hambaga编辑
，原因： 更新附件
|
|
|---|---|
|
|
|
|
|
|
|
|
可以啊 ！关键是想法的创意好，难度不算高，想法太棒了 ！非常赞
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1.入口跑飞是因为附加后自动bc清除断点，我稍后调整一下； 3.扫描函数后会自动下断点breakif(0) 4.编辑框输入的数字就是函数调用次数，需要手动改 |
|
|
没太明白，有参考资料吗 |
|
|
不是附加的时候一样跑飞，载入程序就跑飞了，需要调整一下程序逻辑。 还有那个API断点插件，重载的时候断点一直都在，哪怕是取消了断点再重载还是会存在断点的bug |
|
|
|
|
|
楼主的附加跟你的附加不是一回事，程序载入就附加了，这时清除断点就会把原有的断点清除，只要载入过的软件断点都会没有了，也没有备份，这对我这种喜欢在断点上做记录的不是很友好，如果能手动选择是否启用插件，并提供备份功能（其实就是备份db目录下的.dd64文件），这样就比较人性化了；API断点插件要清除断点需要在插件里取消勾选，在断点列表删除断点会自动再加上，所以你会以为是断点没有删除成功 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
超过1000+断点会卡爆，后续再想办法优化，目前是调不了游戏的 
|
|
|
|
|
|
学习了 
|
|
|
|
|
|
思路不错，很适合爆破一些功能限制的程序
|
