首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
用OD调试，是不是碰上花指令了？
发表于: 2007-12-14 19:04 4517

用OD调试，是不是碰上花指令了？

yuanquanb 活跃值
2007-12-14 19:04
4517
调试一个软件，调试到关键CALL的时候，跟进去，发现里面的指令非常奇怪。某些指令是变化的，调试器停在一个指令上的时候，显示为一个指令，用鼠标点一下那个指令，或者上下翻动一下OD的当前指令窗口，发现那个指令就变了，好像变成几个指令的组合了。新手调试，没碰到过花指令，这是不是就是看雪上大家经常提到的花指令啊，让OD有时识别得到，有时又不能识别。如果全用单步步进的方式调试还可以运行，如果在一个CALL上用单步步过的话立即程序就挂掉了。不知道是什么原因。

如果是花指令的话，OD是不是有相关去花指令的插件可以用了？

[课程]Linux pwn 探索篇！

收藏
免费 ・0
支持
分享
最新回复 (5)
kanxue
雪    币： 44229
活跃值： (19955)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
2 楼
看看这帖：http://bbs.pediy.com/showthread.php?t=55089&viewgoodnees=1
你可以用花指令插件去除，不过要自己提取花指令的特征码了。
2007-12-14 20:58
0
BlueT
雪    币： 517
活跃值： (35)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
3 楼
好像有壳时就是这样的 ！
2007-12-14 21:36
0
姚姚ygj
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
花指令是不是就是跳转啊!找到前边只有1个横杠的(-)或是RETN就是跳出花指令了!研究!不一定准
2007-12-15 09:16
0
yuanquanb
雪    币： 200
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
确实是这样的，JMP指令前面出现一个横杠(-)而不是原来的(^)，并且跳转实现的红线也没有出现，不知道是什么意思。另外问下，关键CALL里面出现了大量的无意义跳转，跳了半天也跳不出去，这样的情况大家是怎么样对付的啊？
2007-12-15 11:49
0
姚姚ygj
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
我说了啊!在有(-)这个的设断点!(或是retn)然后一运行到你设的断点!然后F8或F7就跳出这个花指令了!基本就是这样了!
对了!不要在有箭头的设段点!因为那个跳转一般情况下是跳不出去的!必须在(-)或者什么都没有的设断点!类似:   jmp 模块.eax
或          jmp 模块.ebx
2007-12-15 14:30
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//