OD附加功能分析(DOC可编).docVIP

OD附加功能分析 OD版本：OllyICE v1.10 在从文件菜单选择附加后，OD会在注册一个窗口类后，先创建一个0x138大小的进程表; 再是CreateWindowExA 创建窗口;loc_478013: push 0 ; int push offset sub_477C10 ; int 0047801A push 100h ; int 0047801F push 310h ; int push offset asc_4C20E8 ; ? push offset byte_4ED3FC ; dest 0047802E call _Createsorteddata //此处为创建进程表 表的结构体如下： table struc ; (sizeof=0x138) name db 260 dup(?) //表的名字 count dd ? //表中保存的数据个数 maxcount dd ? //表能保存的最大数量 currentobj dd ? //当前选中的表中数据的ID，未选中时为为-1 addrcurobj dd ? //当前选中数据的地址，未选中时为0 size dd ? //表中每个数据的大小 field_118 dd ? baseaddrobj dd ? //表中保存的数据的基地址 fncmp dd ? //函数首地址 field_124 dd ? field_128 dd ? sign dd ? //标志位，表示是否有索引数据（也就是baseaddroffset是否有效） baseaddroffset dd ? //索引数据，标示每个数据在表中的顺序 field_134 dd ? table ends 然后OD会获取自己的进程ID号，并获取EnumProcesses ，EnumProcessModules，GetModuleFileNameExA 三个函数的地址；loc_475138: xor ebx, ebx 0047513A call GetCurrentProcessId //获取OD本身的进程ID 0047513F mov [ebp+var_10], eax mov eax, dword_4D5A0C test eax, eax jz loc_4752AF 0047514F push offset aEnumprocesses ; EnumProcesses push eax ; hModule call GetProcAddress//获取EnumProcesses地址 0047515A mov edi, eax 0047515C push offset aEnumprocessm_0 ; EnumProcessModules mov eax, dword_4D5A0C