[求助]OD调试中的 Ultra String Reference问题-经典问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (5)
ikea 雪币： 33 能力值： (RANK：10 ) 在线值：发帖 4 回帖 40 粉丝 0 关注私信	ikea 2 楼刚才看了北极狐狸的这篇文章，http://bbs.pediy.com/showthread.php?t=79148 感觉有点体会，但还是希望有人能解答一下我的问题。是不是程序里有ANTI-debug？要怎么检测呢？ 2008-12-25 09:28 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 3 楼你要知道字符串插件搜索的原理就不会奇怪了。它可不是暴力搜索内存来实现的。那样的话不太好判断一段内存数据到底是不是“字符串”。它是对程序代码进行启发式搜索，碰到push/mov等指令，就检查源操作数是不是一个地址，是的话再检查那个地址处的东西看起来“像不像”一个字符串。你在一段代码上进行分析会得出一个结果，换一段程序代码，比如打开某个dll的代码再分析，那么搜索出来的就是这个dll中引用到的字符串了。 ps.上面那篇文章是我写的。我的目的就是想教会大家使用API断点，以脱离对“字符串”的依赖。 2008-12-25 12:35 0
ikea 雪币： 33 能力值： (RANK：10 ) 在线值：发帖 4 回帖 40 粉丝 0 关注私信	ikea 4 楼重新打开了一下链接果然是书呆彭的......... 呵呵，谢谢版主的热心回答。但是我还有点不明白，按照你说的它是对代码进行启发式搜索，那么它搜索的范围是什么呢？根据后面的话，难道是程序的领空？ ^_^ 2008-12-25 13:28 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 5 楼因为此插件我基本上很少使用，它搜索的范围具体有多大，我也没分析过，据我的猜测，应该是当前反汇编窗口显示的代码所在的那一块内存区域。想要深入研究，就去老罗那里下载源码来看吧。 http://www.luocong.com/myworks.htm 2008-12-25 17:50 0
rxzcums 雪币： 427 活跃值： (65) 能力值： ( LV6，RANK：90 ) 在线值：发帖 13 回帖 1174 粉丝 0 关注私信	rxzcums 2 6 楼不是程序的领空，而是当前CPU窗口所在的段！ 2008-12-25 17:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (5)
ikea 雪币： 33 能力值： (RANK：10 ) 在线值：发帖 4 回帖 40 粉丝 0 关注私信	ikea 2 楼刚才看了北极狐狸的这篇文章，http://bbs.pediy.com/showthread.php?t=79148 感觉有点体会，但还是希望有人能解答一下我的问题。是不是程序里有ANTI-debug？要怎么检测呢？ 2008-12-25 09:28 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 3 楼你要知道字符串插件搜索的原理就不会奇怪了。它可不是暴力搜索内存来实现的。那样的话不太好判断一段内存数据到底是不是“字符串”。它是对程序代码进行启发式搜索，碰到push/mov等指令，就检查源操作数是不是一个地址，是的话再检查那个地址处的东西看起来“像不像”一个字符串。你在一段代码上进行分析会得出一个结果，换一段程序代码，比如打开某个dll的代码再分析，那么搜索出来的就是这个dll中引用到的字符串了。 ps.上面那篇文章是我写的。我的目的就是想教会大家使用API断点，以脱离对“字符串”的依赖。 2008-12-25 12:35 0
ikea 雪币： 33 能力值： (RANK：10 ) 在线值：发帖 4 回帖 40 粉丝 0 关注私信	ikea 4 楼重新打开了一下链接果然是书呆彭的......... 呵呵，谢谢版主的热心回答。但是我还有点不明白，按照你说的它是对代码进行启发式搜索，那么它搜索的范围是什么呢？根据后面的话，难道是程序的领空？ ^_^ 2008-12-25 13:28 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 5 楼因为此插件我基本上很少使用，它搜索的范围具体有多大，我也没分析过，据我的猜测，应该是当前反汇编窗口显示的代码所在的那一块内存区域。想要深入研究，就去老罗那里下载源码来看吧。 http://www.luocong.com/myworks.htm 2008-12-25 17:50 0
rxzcums 雪币： 427 活跃值： (65) 能力值： ( LV6，RANK：90 ) 在线值：发帖 13 回帖 1174 粉丝 0 关注私信	rxzcums 2 6 楼不是程序的领空，而是当前CPU窗口所在的段！ 2008-12-25 17:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复