找call练习.doc

首先说明，这个教程以一个找CALL的练习程序为例子。之所以不拿游戏，因为游戏找CALL时间长了，不适合做教程，而且本练习涵盖参数。我将说明为什么这么调用，为什么这么写！?好的。偶们好的，偶们这节课需要用到的程序为【wygailf】制作的一个找CALL测试程序。首先感谢他！??这个就是我们用到的程序，OK，打开他并且用OD附加进程！?并使其进入“运行”状态?好的，下面我没开始找CALL，首先说明一下，CTRL+F9这个是“运行到返回”。为什么要按这个按钮？就我的理解，假设把程序比做很多层的一个盒子，而CALL就是我们要从盒子里拿出来的东西。?那么，如果我们想拿出来CALL，怎么办？当然是打开盒子，取出盒子，再打开盒子，取出盒子而这个CTRL+F9就是这个打开盒子到取出盒子的过程。运行到返回，顾名思义，就是运行到RET（返回）截止。?而这个RET也正是跳出本层的一个关键点。每一个RET都有可能是一层。所以这样也就解释了为什么有的时候按三下CTRL+F9和四下CTRL+F9的原因了。??好，说的就这些。下面LETS?GO！??我们首先下断点bp?send。?然后回车。如果不确定自己是否成功的下了断点。可以在OD中按ALT+B来查看??好的，这个就是我们下的断点了。始终就是断点有效，也可以暂停断点。选择一个断点，敲空格。这个断点就变成了“禁用”。这样就算暂停了断点。OK这里不再赘述，我们开始。??========================================================??首先，我们来个HP药水试试！?在这里选择吃药。然后OD会断下。（这里还要说一下，这个软件原来的教程是错误的~~望改正）！??这里是程序断下的地方，我们可以看到下方有如下注释：??SEND来自说明这里是send函数被断开的地方。?? 继续，CTRL+F9我每一步都会记录下来，一点一点给新手解释为什么！??上图是我按下第一次CTRL+F9之后转到的RET。这里再顺便说一句。看到这里的RET?10了没有。这里是RET?10就是有4个参数的RET,一个参数占4个字节。那么按照这么说来应该是?RET?16才对啊。其实?这 里的10是16进制的10，那么16=10（16进制）=4x4所以这里是RET?10。好，下面说正题：看到上面的CALL了没有。 CALL?WS2_32当你看到这个的时候，你就可以毫不犹豫的再次按下CTRL+F9了，说明你现在还在系统的范围内。还没有进入到程序。为什 么系统跟程序不一样？因为程序是依托在WINDOWS平台运行的。那么如果程序要干什么事情，就要跟WINDOWS打声招呼。也就是SEND函数！程序跟 系统说，我要做动作了，系统说批准，程序说我要喝药，系统说批准，程序说我去哪里喝药，系统说CALL！好的，这里的CALL就是我们需要的CALL 了。:-)??第二次CTRL+F9，这里的CALL还是差不多，还在系统层内。我们继续！??OK，以上是第三次按CTRL+F9所看到的信息。?看到这里了吗，已经是程序层了。也就说这里很有可能就是我们需要的CALL了。OK。我们来测试一下??好的，我们来看这一段??看第一行：mov?dword?ptr?fs:[eax],edx?这里的意思是：将指针赋值到dword，后面有FS就是注释[eax],edx其实就是将edx中的值复制到eax中，使eax和edx相等。?看第二行：push?入栈,入栈就是把一个数值放到寄存器中，其实跟mov是一样的，那么这里push到哪里了呢？因为第一行eax已经被占用，那么这里就应该是ebx。也就说这里是赋值EBX。?看第三行：lea?eax,pword?ptr?ss:[edp-4]。这里LEA指令指将操作结果保存到eax，好既然是eax我们就不管他了。至于是什么结果，我们一会看。?看第四行：CALL不解释。就是我们需要的东西。（但其实不是）?看第五行：ret?返回的意思。?好的，假设这段代码是我们需要的代码，那我们该怎么去表达它，在程序中如何去写？?这里留个悬念，因为我事先测试过，这里不是我们需要的CALL，我就不说了。等找到正确CALL的时候我再讲解如何去写CALL。?好继续CTRL+F9下图??看这里，跟上面一样，这个返回没用，我们继续CTRL+F9。??好，这里又出现了一个CALL，那我们想想是不是这个呢？如何去调用这个CALL？?首先，我们要测试一下它是不是一个带参数的CALL，至于怎么测试呢？靠，那就用程序CALL一下呗！但这里的CALL是个有参数的CALL。我们继续。?我们如何知道这个CALL调用了什么参数？试想一下，CALL调用