OllyDBG分析报告系列---获得当前cpu状态.docVIP

许多Ollydbg（以下均简称为OD）中获得当前cpu状态的主要原理是：windows操作系统是多线程的操作系统，其线程运行是分时间片的，每个程序按照其优先级轮流运行一段时间。当运行一个线程时，其他线程需要把运行环境保留到一个地方，当时间片分配到自己时，再讲运行环境读取出来并运行。根据windows运行原理，调试寄存器能够读取、修改保存起来的线程运行环境，这样也就获得了CPU的工作状态了。其API为：GetThreadContext、SetThreadContext。通过分析，OD会遍历所有活动线程，得到其线程环境，并将得到的所有信息放到一个66Ch大小的结构体中，该结构体的详细情况即该系列一的int3断点中提及的t_thread结构体。关于这部分的代码分析，在IDA中已经详细标出，就直接将IDA中的分析结果贴上。这里就总的说一下这个函数的功能以及参数（函数名为GetThreadInfo）：a.??通过GetThreadContext的方法获得线程的上下文环境，把该环境保存至OD线程信息结构中的reg字段中，若oldreg已经失效，则复制reg的值到oldreg中；b.??若被调试进程有多个线程，则循环取值，保存至OD线程信息结构数组中；c.??传入参数为：DebugEvent.dwThreadId；d.??返回值为：成功时为保存在OD线程信息结构中的当前寄存器信息结构的指针（主线程），失败返回0。GetThreadInfo???proc?near???????????????;?CODE?XREF:?sub_42EBD0+1A?p????????????????????????????????????????;?_Suspendprocess+45?preg_big[6]???????牋?燿word爌tr?34hreg_seg_reg牋牋牋牋=燿word爌tr?30hs_base_ss牋牋牋?燿word爌tr?2Chf_reg_st_i牋牋牋?燿word爌tr?28hSelectorEntry牋?燺LDT_ENTRY爌tr?24hret牋牋牋牋牋牋?燿word爌tr?1ChpThreadInfo牋牋?燿word爌tr?18hvar_11牋牋牋牋牋=燽yte爌tr?11hsrc牋牋牋牋牋牋?燿word爌tr?10hsegment_size牋牋牋牋牋?燿word爌tr?0Chf_reg_index牋牋牋牋牋?燿word爌tr?8i牋牋牋牋牋牋牋?燿word爌tr?4ThreadId牋牋牋牋牋?燿word爌tr牋8保存现场，拉伸空间，检查线程信息结构体是否存在，若不存在直接跳转到结束处，若存在则跳过退出部分的代码：????????????????push????ebp????????????????mov?????ebp,?esp????????????????add?????esp,?0FFFFFFCCh????????????????mov?????eax,?pThreadInfo????????????????push????ebx????????????????push????esi??????牋牋牋牋牋push牋牋edi牋牋牋牋牋牋牋牋mov牋牋燵ebp+pThreadInfo],爀ax牋牋牋牋牋牋牋牋cmp牋牋燵ebp+pThreadInfo],?牋牋牋牋牋牋牋牋jnz牋牋爏hort爃as_ThreadInfo牋牋牋牋牋牋牋牋xor牋牋爀ax,爀ax牋牋牋牋牋牋牋牋jmp牋牋燺exit;?--------------------------------------------------------------------------下面开始即是一个大的循环体，这里初始值变量，然后跳转到循环体的判断处：has_ThreadInfo:?????????????????????????;?CODE?XREF:?GetThreadInfo+15?j????????????????xor?????edx,?edx????????????????mov?????[ebp+ret],?edx????????????????xor?????ecx,?ecx????????????????mov?????[ebp