首页
社区
课程
招聘
[旧帖] [求助]请问 OllyDbg 的 Follow in dump 问题 0.00雪花
发表于: 2008-5-5 01:32 5578

[旧帖] [求助]请问 OllyDbg 的 Follow in dump 问题 0.00雪花

2008-5-5 01:32
5578
请问 OllyDbg 的 Follow in dump 问题

    mov     dword ptr [ebp-12C], eax
    push    0                                 ; /pOverlapped = NULL
    lea     eax, dword ptr [ebp-1D48]         ; |
    push    eax                               ; |pBytesRead = 0012E278
    push    4                                 ; |BytesToRead = 4
    lea     eax, dword ptr [ebp-1D44]         ; |
    push    eax                               ; |Buffer
    push    dword ptr [ebp-12C]               ; |hFile
    call    <jmp.&kernel32.ReadFile>          ; \ReadFile

    若 EIP 停在第一列, 我按 Enter , 则内存视窗显示的东西 = 我输入 d ebp-12C
    
    有无方法在我游标点选第三列, 按 Enter = 我输入 d ebp-1D48
    (因为EIP现在在第一列, 所以我按Enter没反应)
    (右键的 Follow in dump 内也不能用, 一定要在 Command 输入 d ebp-1D48)

    若可以的话, 真的是方便多了. 不然只作用在 EIP 那一列, 很不方便.
    
    EBP不要求计算, 以目前的 EBP 为准即可.
    像 SoftICE 可在 [ebp-1D48] 这个字按右键, 点 Display, 很方便.

    多多指教.

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (5)
雪    币: 424
活跃值: (10)
能力值: ( LV9,RANK:850 )
在线值:
发帖
回帖
粉丝
2
- -`现在OD好像没有这个吧
2008-5-5 06:40
0
雪    币: 2067
活跃值: (82)
能力值: ( LV9,RANK:180 )
在线值:
发帖
回帖
粉丝
3
嗯.
那...可以以写plugin的方式实现吗?
2008-5-5 06:48
0
雪    币: 424
活跃值: (10)
能力值: ( LV9,RANK:850 )
在线值:
发帖
回帖
粉丝
4
直接修改od可能会好点,

另外,麻烦一点也许比较好
因为就算有这个功能,od无法保证从eip到你需要知道的内存地址的值所在的指令之间ebp没有被改变.所以麻烦一点能获取更准确的值
2008-5-5 06:53
0
雪    币: 2067
活跃值: (82)
能力值: ( LV9,RANK:180 )
在线值:
发帖
回帖
粉丝
5
嗯.
不过我第一篇有强调 "EBP不要求计算, 以目前的 EBP 为准即可"
亦即OllyDbg最好不要太智慧化会比较好.
2008-5-5 06:57
0
雪    币: 2067
活跃值: (82)
能力值: ( LV9,RANK:180 )
在线值:
发帖
回帖
粉丝
6
追了一下, 本来得改点程式码, 后来发现改个 DWord 的值为 1 即可.
再追了一下那里在设这个 DWord的...
原来是 Decode registers for any IP 这个设定 =0  or =1

脸上出现三条线 |||
无言
2008-5-5 12:56
0
游客
登录 | 注册 方可回帖
返回
//