-
-
[原创]理解OD的F4,F7,F8,F9
-
发表于: 2008-11-22 22:56
-
这个小程序只是hook（IAT hook）了OD的四个关键调试API：WaitForDebugEvent（），GetThreadContext（），SetThreadContext（），ContinueDebugEvent（）
当程序运行时，OD通过WaitForDebugEvent等待系统调试事件，WaitForDebugEvent返回时代表有一个调试事件发生了，hook了它就可以轻而易举的知道所发生的具体事件。GetThreadContext得到一个CONTEXT结构，OD寄存器面板里的各个值就来源于这里，但是OD寄存器面板里的值不一定是原始真实的，hook了这个函数就可以看清清楚楚。最重要的是SetThreadContext，OD中F4,F7,F8,F9，shift+F7,shift+F9的功能就是设置CONTEXT结构，然后调用这个函数，设置线程环境，hook了这个函数就能弄清楚OD的调试花招。ContinueDebugEvent后系统就恢复执行被调试线程。
以最简单的F7为例：
看到图中EFLAGE：00000346（0…… 0011 0100 0110）
TF单步标志位是第9位，显然TF＝1，表明执行完这条指令后引发单步异常
点确定后出现：
要恢复执行被调试线程了！
再点确定后出现：
图中可以清楚的看到ExceptionCode和ExceptionAddress，80000004就是上面提到单步异常（果然发生了），当然这个异常OD是自己处理的，不会发给被调试程序的！要注意的是硬件断点产生的异常也是80000004，所以最后要通过Dr6的最后四位来判断！
F7固然简单，F9就比我想象的要复杂，大家可以试一试，它们的第一步居然也是单步，然后才把TF置零，正真运行。原因是要落实各个断点（关键是刚刚命中的那个断点（如果有）），包括硬件断点！
[招生]科锐逆向工程师培训(2025年3月11日实地，远程教学同时开班, 第52期)！
|
|
|---|---|
|
|
 忘了附件：又更新了一下附件：增加了很多别的DEBUG_EVENT的提示 CREATE_PROCESS_DEBUG_EVENT时，进程名通过别的方法获取了，但LOAD_DLL_DEBUG_EVENT时模块名无法获取，它们的lpImageName是NULL（或无效），用PSAPI也不行，刚刚得到这个事件时别的工具也无法察出来，OD里的模块列表应该是后来枚举出来的……不知道大家有什么高招！◎＃￥％……※× |
|
|
|
|
|
一开始图片没了，，，编辑了我半天……
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 想操练已下，HOOK函数少了，没找到程序，
|
|
|
|
|
|
|
|
|
|
|
|
学习了！！
|
|
|
|
