入门系统六消息断点及RUN跟踪补充.docxVIP

OllyDBG 入门系统（六）-消息断点及RUN跟踪补充 看完了《0IlyDBG 入门系统（五）-消息断点及 RUN跟踪》之后感觉如何？会否有如下问题： 1、 是否觉得不知道在哪下断？ 2、 为什么要这样子下断？ 3、 如何确定断下来后的位置就是正确的？ 好，就本着这几个问题来分析一遍。 首先，先回顾下 Windows的消息机制。要点：所有要处理的消息必然会由程序自己处理， 不处理的消息都交由 Windows处理。Windows的消息处理函数的格式，如下： LRESULT CALLBACK Win dowProc（ HWND hwnd, // han dle of wi ndow UINT uMsg, // message ide ntifier WPARAM wParam, // first message parameter LPARAM lParam // sec ond message parameter ）; 其中uMsg就是关键，它代表消息的类型，如： WM_COMMAND,WM_GETTEXT 等。记好 哦。 F面，我们来用实例讲解。 F面，我们来用实例讲解。 这个CrackMe是用对话框做的（你是怎么知道的？） 。 1、 用 OllyDbg 加载，Crtl N，找到函数：USER32.DialogBoxParamA，右击- “在每个 参考上设置断点”。 2、 F9,运行。看，被拦了下来，如图： 00401 OtIO「$pus 00401 OtIO 「$ push- - nou 0 0401 60C push 0048100E ? push- push - push L push 0040101D L_ call^ O rpModule - NULL jnp.KERNEL32.GetModul?HandleA：L dword ptr as:[4li219町.eax 6 cpcle 029 0 6B duord pgr 個纠] $RESULT} DlgProc = c^cle. 00401 D29 hOwner = NULL pTenplate = 68 lIDTi 3、 其中DlgProc的内容，就是我们需要找的东东。这个地址是消息处理函数的入口点。 现在来解释为什么要在窗口那才有消息断点，看图， 句炳 ［标题CI006049A ■ULIU4U4 曲 .0CMM96 .000505 西CycleCraclone|爻窗口 附证口匚狂 ［风格 |扩展凤榕鮭程 事!口血6的4川LUl^ooa 1000|0412 句炳 ［标题 CI006049A ■ULIU4U4 曲 .0CMM96 .000505 西 CycleCraclone |爻窗口 附证口匚狂 ［风格 |扩展凤榕鮭程 事 !口血6的4川 LUl^ ooa 1000|0412 句恼，程序毎 次盍新载入时 和会不同 490 Mame Seri al ibout 程序的盹站 [Ck^ck Ji*cF， Default IME H 在选中的句柄上诙 色灵示［捋右餐选攝 團中这亍菓草项 在Cl^==Fr9C上设涓底■■断点、 I Topais t Q006049A -uuutu^y* 0O06049A it?0e049A .0006049A nnncn jfia 刷新 COOOOSEa LLHJUKfrr COOOPFFF00000003 fitvmnrtia 94C30A4^50010060 OOOOOE04 UJUJULiU^ OCOCOC04 OCOCOC04 DC000004(M000204 bLRJZUUJU50010000跟随 Cl assProc 在ClwsProc上切换斷点 在Cl^sProc上设条件恒录斯点 cnri10000 ooeo oooo oooo 壬主土主主主主主主圭 宣制到剪贴板 排序按 界面选顼 vi晁 MakeCHIL coh 要下消息断点，首先得找到具有 Windows消息处理函数格式的函数，然后，再根据栈的数 据来判断消息，如果符合下断的消息，那么， OllyDbg就会拦下来（还会觉得不知道在哪下 消息断点了吗？知道该如何下消息断点了吧？） 。很明显有一点，这个消息断点的功能是有 限的，比如，要拦主窗口中的菜单消息呢？所以， 消息断点的功能还是有限的。如何扩展？ 扯远了，下面再讲。 4、 Ctrl G来到cyle.0041029，我们来到了消息处理函数了，但