首页
社区
课程
招聘
[旧帖] [求助]OllyDBG 中的函数参考 到底如何下WriteProcessMemory函数断点 0.00雪花
发表于: 2009-5-9 09:02 5473

[旧帖] [求助]OllyDBG 中的函数参考 到底如何下WriteProcessMemory函数断点 0.00雪花

2009-5-9 09:02
5473
首先翻阅【原创】OllyDBG 入门系列(三)-函数参考 ,
只需要在当前程序领空
查找->当前模块中的名称 (标签),即可。

但是我照此操作。。看到的却是
名称位于 mh120e5
地址       区段       类型    (  名称                                    注释
004010E8   .text      输入         MSVBVM60.#100
0040105C   .text      输入         MSVBVM60.#520
00401118   .text      输入         MSVBVM60.#581
004010B4   .text      输入         MSVBVM60.#608
004010F4   .text      输入         MSVBVM60.#613
00401058   .text      输入         MSVBVM60._adj_fdivr_m16i
004010E0   .text      输入         MSVBVM60._adj_fdivr_m32
004010D0   .text      输入         MSVBVM60._adj_fdivr_m32i
004010B0   .text      输入         MSVBVM60._adj_fdivr_m64
00401050   .text      输入         MSVBVM60._adj_fdiv_m16i
0040103C   .text      输入         MSVBVM60._adj_fdiv_m32
004010CC   .text      输入         MSVBVM60._adj_fdiv_m32i
00401018   .text      输入         MSVBVM60._adj_fdiv_m64
004010E4   .text      输入         MSVBVM60._adj_fdiv_r
00401080   .text      输入         MSVBVM60._adj_fpatan
004010AC   .text      输入         MSVBVM60._adj_fprem
00401020   .text      输入         MSVBVM60._adj_fprem1
00401004   .text      输入         MSVBVM60._adj_fptan
00401104   .text      输入         MSVBVM60._allmul
004010FC   .text      输入         MSVBVM60._CIatan
00401000   .text      输入         MSVBVM60._CIcos
0040110C   .text      输入         MSVBVM60._CIexp
004010BC   .text      输入         MSVBVM60._CIlog
00401060   .text      输入         MSVBVM60._CIsin
00401098   .text      输入         MSVBVM60._CIsqrt
00401108   .text      输入         MSVBVM60._CItan
0040107C   .text      输入         MSVBVM60.DllFunctionCall
00401068   .text      输入         MSVBVM60.EVENT_SINK_AddRef
0040109C   .text      输入         MSVBVM60.EVENT_SINK_QueryInterface
00401090   .text      输入         MSVBVM60.EVENT_SINK_Release
00401064   .text      输入         MSVBVM60.__vbaChkstk
004010C0   .text      输入         MSVBVM60.__vbaErrorOverflow
004010A0   .text      输入         MSVBVM60.__vbaExceptHandler
00401040   .text      输入         MSVBVM60.__vbaExitProc
00401044   .text      输入         MSVBVM60.__vbaFileCloseAll
004010C4   .text      输入         MSVBVM60.__vbaFileOpen
004010B8   .text      输入         MSVBVM60.__vbaFPException
004010F8   .text      输入         MSVBVM60.__vbaFpI4
00401110   .text      输入         MSVBVM60.__vbaFreeObj
0040101C   .text      输入         MSVBVM60.__vbaFreeObjList
00401114   .text      输入         MSVBVM60.__vbaFreeStr
004010DC   .text      输入         MSVBVM60.__vbaFreeStrList
0040100C   .text      输入         MSVBVM60.__vbaFreeVar
00401014   .text      输入         MSVBVM60.__vbaFreeVarList
0040106C   .text      输入         MSVBVM60.__vbaGenerateBoundsError
00401038   .text      输入         MSVBVM60.__vbaHresultCheckObj
00401078   .text      输入         MSVBVM60.__vbaI2I4
004010D8   .text      输入         MSVBVM60.__vbaI4Str
004010EC   .text      输入         MSVBVM60.__vbaI4Var
004010A4   .text      输入         MSVBVM60.__vbaInputFile
00401084   .text      输入         MSVBVM60.__vbaLateIdCallLd
00401030   .text      输入         MSVBVM60.__vbaLsetFixstr
004010C8   .text      输入         MSVBVM60.__vbaNew2
0040104C   .text      输入         MSVBVM60.__vbaObjSet
00401054   .text      输入         MSVBVM60.__vbaObjSetAddref
00401048   .text      输入         MSVBVM60.__vbaOnError
004010A8   .text      输入         MSVBVM60.__vbaPrintFile
00401074   .text      输入         MSVBVM60.__vbaR4Str
00401024   .text      输入         MSVBVM60.__vbaRecAnsiToUni
0040108C   .text      输入         MSVBVM60.__vbaRecUniToAnsi
00401034   .text      输入         MSVBVM60.__vbaSetSystemError
00401028   .text      输入         MSVBVM60.__vbaStrCat
00401070   .text      输入         MSVBVM60.__vbaStrCmp
004010D4   .text      输入         MSVBVM60.__vbaStrCopy
00401100   .text      输入         MSVBVM60.__vbaStrMove
00401088   .text      输入         MSVBVM60.__vbaStrR8
004010F0   .text      输入         MSVBVM60.__vbaStrToAnsi
00401010   .text      输入         MSVBVM60.__vbaStrVarMove
00401094   .text      输入         MSVBVM60.__vbaUI1I2
00401008   .text      输入         MSVBVM60.__vbaVarMove
0040102C   .text      输入         MSVBVM60.__vbaWriteFile
004014EC   .text      输出         <模块入口点>
根本无WriteProcessMemory操作啊!

打开kernel32模块
其中倒是有一行
名称位于 kernel32, 条目 1285
地址=7C80220F
区段=.text
类型=输出    (已知)
名称=WriteProcessMemory

但是根本没办法在每个参考下断点。。。
于是我就疑惑了。。在OD中到底该怎么下函数断点呢????

[课程]FART 脱壳王!加量不加价!FART作者讲授!

收藏
免费 0
支持
分享
最新回复 (12)
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
大概知道了。这程序是VB写的。。。似乎VB不能WriteProcessMemory
于是就loadlibrary kernel32然后得到函数地址来用。。所以这样似乎跟不到。。
2009-5-9 09:18
0
雪    币: 2384
活跃值: (766)
能力值: (RANK:410 )
在线值:
发帖
回帖
粉丝
3
下bp WriteProcessMemory断点就可以断下所有对这个函数的操作。
2009-5-9 09:25
0
雪    币: 370
活跃值: (52)
能力值: ( LV13,RANK:350 )
在线值:
发帖
回帖
粉丝
4
VB就好像是给程序再加一个“壳”,和系统的交互还是得调用基本的接口API,所以一样可以下断点,不知道我这样讲是否会有失偏颇
2009-5-9 09:37
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
bp WriteProcessMemory

在OD里面怎么操作。。。。上帝啊!!OD怎么这么难用啊!!最糟糕的是快捷键居然和VS 2005不一致。。
老想按F5
2009-5-9 10:37
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
最主要这东西还不能调驱动。。很不想学。。。哎。。。
2009-5-9 10:39
0
雪    币: 2384
活跃值: (766)
能力值: (RANK:410 )
在线值:
发帖
回帖
粉丝
7
OD难用?。。。。。。
只要你的OD有CmdBar插件,那么OD的左下角就会有一个命令行工具栏,在那里输入之后回车就可以了。
2009-5-9 10:41
0
雪    币: 290
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
od的常用断点函数用好了,很强大。
2009-5-9 10:42
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
谢谢老大。。。。你的一句话,至少顶我网上查2个小时
2009-5-9 10:43
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
7楼老大。。万分感谢。
2009-5-9 10:45
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
还有一个问题。。bp WriteProcessMemory之后会自动跳转到该函数调用的地方。
比如我的电脑 7C80220F >   8BFF                     MOV EDI,EDI
但是在函数调用之前,参数已经入栈,如果我程序断在这里。。在OD中如何查看栈中信息。或者说就是得到参数吧。。有啥简单按键不???

PS。。能不能在所有调用WriteProcessMemory的地方下断?
2009-5-9 11:18
0
雪    币: 2384
活跃值: (766)
能力值: (RANK:410 )
在线值:
发帖
回帖
粉丝
12
当程序中断之后在命令行工具栏中输入下面的命令就可以在数据窗口看到函数数据内容:
d [esp+4]  ; 第一个参数
d [esp+8]  ; 第二个参数
d [esp+n]  ; 第n个参数

当你下了bp WriteProcessMemory断点时,当前程序所有调用这个函数时都会被断下。
2009-5-9 11:35
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
恩。。。老大。这个问题我终于解决啦。
2009-5-9 13:53
0
游客
登录 | 注册 方可回帖
返回
//