使用OllyDbg从零开始Cracking-10第十章-断点.pdfVIP

第十章-断点 本章将介绍各种类型的断点。断点可以让 你在程序代码执行到合适的时候暂停下来 。这次我们的实验的对象还是CrueHead’ a的CrackMe。 普通断点 这是一个很普通的断点,我们前面章节已 经使用了。在SoftIce中我们可以使用BPX 命令来设置断点。OD中可以使用BP命令或 者F2快捷键来设置断点。也可以再按一次 F2快捷键来取消断点。 我们来到CrueHead’a的CrackMe的入口点 处。 举个例子,拿401018这行来说吧,按F2键- 这行就会以红色突出显示,在该地址处设 置的断点就会加入了断点列表中。 我们来看看断点列表刚刚设置的断点,此 时该断点是激活状态。 断点列表中Active栏显示的是Always。在 该行上单击鼠标右键会弹出一些操作断点 的菜单项。 Remove:从列表中删除断点。 Disable:禁用断点但并不将断点从列表中 删除。禁用时,断点并不会触发。 Edit condition:给断点设置触发条件,我 们后面再来讨论。 Follow in disassembler:在反汇编窗口 中显示断点。 Disable all or enable all:禁用/启用 列表中的全部断点。这里没有启用的选项 ,因为列表中唯一的断点没有被禁用。 Copy to Clipboard:把选中断点的信息复 制到剪贴板。我们来实验一下。 我们选择Whole line拷贝整行,Whole Tab le可以拷贝整个列表的断点信息。 Breakpoints, item 0 Address Module CRACKME Active Always Disassembly OR EAX,EAX 拷贝下来的信息显示了断点的地址,对应 的指令以及激活状态。 按下F9键-CrackMe运行起来了。然后正如 猜想的一样中断了下来。 在状态栏显示暂停状态。 暂停的原因如下: 我们来了解一下当设置一个断点以后,二 进制代码会发生什么变化。 单击鼠标右键选择-Follow in Dump-Sele ction 我们看看数据窗口中401018地址处的内容 : 我们初看一下数据窗口中的内容和反汇编 代码中代码是一样的: 数据窗口和反汇编代码中我们看到的都是 0B C0,对应的是OR EAX,EAX。似乎代码没 有什么变化,但是真的没有变化吗? 我们保留401018处的断点,重新加载Crack Me。 我们将OR EAX,EAX对应的机器代码读取出 来然后写到别处。 该指令将401018地址处的双字值保存到EA X中,我们看看OD的提示框中提示的信息。 在数据窗口中和提示框中显示的都是相同 的内容:0B C0。但是,我们按下F7键看看E AX显示的内容。 读出来的401018处的内容并不是OD刚刚显 示的0B C0 74 01(小端存储),按双字取出 来是0174C00B,而现在显示的是0174C0CC, 因此401018处字节值是CC。当我们设置断 点后,OD会将对应指令处第一个字节指令 替换成CC。但是为了不影响界面显示效果 ,OD会将CC显示为原字节。但是,我们可以 在内存单元中读取出其真实的内容,并且 可以在反调试中用此方法来检测断点。所 以,我们设置的断点有时候莫名其妙的消 失了不要感到奇怪,或许说这是调试器的 本身的弱点吧。 除了F2设置断点以外,我们还可以通过命 令栏来设置断点,如下: BP 401018 在NT (2000,XP和2003)系统中我们也可以 很容易的给API函数设置断点-我们前面章 节中已经介绍过了。要给MessageBoxA设 置断点,请输入: 并且你必须指定API函数的确切名称,而且 大小写敏感。 还有一个比BP更加强大的命令BPX可以给 引用或者调用了指定API函数的指令都下 断点。 下面是BPX给MessageBoxA设置的断点列表 。正如你所看到的,OD找到了3处地方调用 MessageBoxA,并设置了3个断点。 还有一种设置断点的方法:在反汇编窗口 中你想设置断点的那一行双击机器码即可 。如果想删除的话,再双击一次即可。 内存断点 内存访问断点有时候也称之为BPM,但是不 要与SoftIce中的BPM弄混淆了,这二者是 完全不同的。 这种类型的断点修改内存页的访问属性。 当前我们设置了内存断点。任何代码访问 (读,写或者执行代码)了该处代码的话,都 会触发异常。我们来看一个例子: 现在我