-
-
[原创]利用万能断点找出关键跳转+工具制作篇(25楼)
-
发表于: 2006-12-17 15:35
-
赞赏记录
参与人
雪币
留言
时间
Youlor
为你点赞~
2023-10-26 03:39
伟叔叔
为你点赞~
2023-7-25 02:46
PLEBFE
为你点赞~
2023-5-19 02:16
QinBeast
为你点赞~
2023-4-30 05:03
心游尘世外
为你点赞~
2023-4-27 01:47
飘零丶
为你点赞~
2023-4-25 02:57
shinratensei
为你点赞~
2023-4-15 04:57
|
|||
|---|---|---|---|
|
|
坐个沙发！！！！
 学习！ |
||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
好东西~,学习,老长时间没来看雪了~,支持一下~
|
||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
|||
|
|
嘿嘿,已整合到OD中去啦!
|
||
|
|
早点发塞，自己摸索了几个月，才搞会
|
||
|
|
最初由 hxx 发布 这个不是早就有很多教程 还是图文并茂的么? 若是摸索几个月也找不到 还是玩别的吧 |
||
|
|
|||
|
|
本来是没有打算这篇文章的，看到在上篇文章中yumikeyabc兄弟提供了一个直接找Point-h的工具（16楼），下载后试用了一下，发现得到的地址是不对的，以前也用过另一个，同样得到的Point-h地址不对，所以就自己动手写了一个垃圾品，还是老话，大家不要扔臭鸡蛋、烂柿子就好了，抛砖引玉嘛。
原理和上篇里面讲解的一样，从user32.dll文件里面搜索F3 A5 8B C8 83 E1 03 F3 A4 E8数值，用得到的值 + 基址 + 这个值所在区段的虚拟偏移 ? 原始偏移量就可以了，代码很简单。
newsearch: POINT H收集翻译 http://bbs.pediy.com/showthread.php?s=&threadid=10833&highlight=pointh linhanshi: Point-h in WinXP english tutorial http://bbs.pediy.com/showthread.php?s=&threadid=8915&highlight=pointh  最初由 peaceclub 发布 按照上面的分析和2篇参考写出具体代码： unit Unit1; interface uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs, ExtCtrls, StdCtrls; type TForm1 = class(TForm) GroupBox1: TGroupBox; Edit1: TEdit; Button1: TButton; procedure Button1Click(Sender: TObject); private { Private declarations } public { Public declarations } end; var Form1: TForm1; implementation {$R *.dfm} function GetWinDir: string; //得到系统目录 var Buf: array[0..MAX_PATH] of char; begin GetSystemDirectory(Buf, MAX_PATH); Result := Buf; if Result[Length(Result)] <> '\' then Result := Result + '\'; end; function GetFileSize(const FileName: string): LongInt; //取得一个文件的大小 var SearchRec: TSearchRec; begin if FindFirst(ExpandFileName(FileName), faAnyFile, SearchRec) = 0 then Result := SearchRec.Size else Result := -1; end; procedure TForm1.Button1Click(Sender: TObject); var user32Path: string; tmp: array[1..10] of byte; i, pPoint: integer; Stream: TFileStream; PEDosHead: TImageDosHeader; PENTHead: TImageNtHeaders; PESectionHead: array of TImageSectionHeader; label FoundAnAnswer; begin user32Path := GetWinDir + 'user32.dll'; Stream := TFileStream.Create(user32Path, fmShareDenyNone); Stream.Seek(0, soFromBeginning); Stream.Read(PEDosHead, sizeof(PEDosHead)); //读PEDosHead结构 Stream.Seek(PEDosHead._lfanew, soFromBeginning); //将指针挪至 $003c Stream.Read(PENTHead, sizeof(PENTHead)); //读PENTHead结构 SetLength(PESectionHead, PENTHead.FileHeader.NumberOfSections); for i := 0 to PENTHead.FileHeader.NumberOfSections - 1 do Stream.Read(PESectionHead[i], SizeOf(PESectionHead[i])); //读PESectionHead结构 //for i := 1 to GetFileSize(user32Path) do for i := 1 to $3ffff do begin Stream.Seek(i,soFromBeginning); Stream.Read(tmp,sizeof(tmp)); //F3 A5 8B C8 83 E1 03 F3 A4 E8 if (ord(tmp[1])=$F3) and (ord(tmp[2])=$A5) and (ord(tmp[3])=$8B) and (ord(tmp[4])=$C8) and (ord(tmp[5])=$83) and (ord(tmp[6])=$E1) and (ord(tmp[7])=$03) and (ord(tmp[8])=$F3) and (ord(tmp[9])=$A4) and (ord(tmp[10])=$E8) then begin pPoint:=i; //记录Offset值 goto FoundAnAnswer; end; end; FoundAnAnswer: Stream.Free; //由于万能断点处于.text区段时固定的，所以就直接写PESectionHead[0].SizeOfRawData了 edit1.Text :=IntToHex(PENTHead.OptionalHeader.ImageBase+pPoint+ PESectionHead[0].VirtualAddress - PESectionHead[0].PointerToRawData,8); end; end. <代码已修正，全文完> |
||
