逆向基础：汇编（反调试 FAKE F8、ESP寻址、EBP寻址）

最新推荐文章于 2023-03-24 23:26:53 发布
最新推荐文章于 2023-03-24 23:26:53 发布
阅读量230 收藏
点赞数
分类专栏： CTF比赛解析备课与教学 文章标签： html5 css html
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lm19770429/article/details/120807896
版权
本文探讨了如何通过在代码中插入int3指令使F8单步执行失效，以及堆栈操作如何影响ESP和EBP寄存器，确保程序在调试过程中的隐蔽性。堆栈操作主要涉及ESP和EBP的寻址，以维持堆栈的稳定性和隐藏关键信息。
摘要由CSDN通过智能技术生成

反调试：让F8单步执行失效

指令：int 3                          程序会停下来 

让F8，失效

ESP寻址

EBP寻址

 

 

 

 再有堆栈操作，只影响ESP，EBP相对确定。

 

 

 

 

花纵酒
关注
专栏目录
fake2db：创建使用假数据填充的自定义测试数据库
02-04
安装通过pypi安装会获取“ fake-factory”作为主要依赖项。 pip install fake2db可选要求PostgreSQLpip install psycopg2为了安装psycopg2 ，您需要在系统中使用pg_config 。 在Mac上，解决方案是安装postgresql ： ...
【汇编】esp寻址与ebp寻址
qq_52572621的博客
09-08 1870
esp寻址的优缺点： 优点：便捷 缺点：当遇到复杂的、函数中对堆栈有操作的，esp寻址就会变得有些困难。 例如： 我们之前的测试两数相加，都是把参数从堆栈中取出，放在寄存器里，但实际开发中，寄存器里的值一般情况下都是有用的，说到底就是我们不能直接取出寄存器里的值，我们需要将值备份一份，然后再寻址，使用完成之后再将原来的值取出，如下：
汇编（五）堆栈平衡和寻址方式-ESP EBP
weixin_51555115的博客
04-28 1331
文章目录前言环境函数构架模型编写代码：堆栈传参ESP寻址堆栈平衡EBP寻址 前言 本文汇总五个重点，为了学起来更加方便我将他们按照递进关系重新排列。分别是： 函数、传参、ESP寻址、堆栈平衡、EBP寻址。 看完本文就能感受到我这么安排的用意。 环境 为了更加深入理解，先假设你接到了一项任务：用汇编语言实现一个两数相加求结果的功能，并且要多次使用。 函数 因为要多次使用该功能，所以我们要选择函数来解决。和c语言差不多，汇编的函数也是在一个“模块”中调用另一个“模块”。这只是笼统的介绍，下面演示一下实际操作：
汇编级别反调试（1）
最新发布
青月的成长记录吖
03-24 241
对于一些调试器可能会崩溃，当EIP用作异常处理地址之后，INT 2D指令后的代码将会被跳过，可能跳入到一些非法指令处。在异常处理程序中，我们设置一个寄存器，该寄存器充当指令计数器（在本例中为EAX）和指令指针EIP的角色，以将控制权传递给序列中的下一条指令。在没有调试器的情况下，在到达INT3指令后，将生成异常EXCEPTION_BREAKPOINT (0x80000003)，并将调用异常处理程序。在下面的例子中，如果在od调试器，当步入到 0xF3 时，我们会直接跳到 try 的末尾。
【汇编】反调试之Fake F8
qq_52572621的博客
09-04 685
功能键F7和F8在DTDEBUG工具中，都是用来执行指令的，那他们有什么区别呢？下面将为大家讲解在调试阶段F7和F8的区别，以及如何做到简单的反调试。
ESP寻址原理
随心记
10-13 2031
正常情况下我们栈的寻址方式是EBP+偏移的方式来寻址的 //保留调用前的栈底 PUSH EBP 这里会保留栈底 //提升堆栈 MOV EBP,ESP 我们可以知道这种方式EBP(栈底)寻址时是不会发生变化的，栈底我们是不会去改变它的,所以我们在寻址时都是EBP+... SUB ESP,0x40 //保留现场 PUSH EBX PUSH ESI
react-fake-tweet：鸣叫的React渲染器
02-06
假冒鸣叫React鸣叫渲染器。 该项目是一个叉通过有以下改进： 使用CSS模块不... { Component } from ' react 'import { Tweet } from ' react-fake-tweet 'import ' react-fake-tweet/dist/index.css 'const tweet = { /
vue-fake-scroll:虚假滚动的Vue组件
04-28
npm install --save vue-fake-scroll 或者 yarn add vue-fake-scroll 进口 全球注册 import Vue from 'vue' import VueFakeScroll from 'vue-fake-scroll' Vue . component ( 'vue-fake-scroll' , VueFakeScroll ) ...
fake-amqplib:假nodejs amqplib
05-24
覆盖的amqplib 您可能想在测试中使用@onify/fake-amqplib覆盖amqplib 。 这可以通过以下方式完成： const amqplib = require ( 'amqplib' ) ;const fakeAmqp = require ( '@onify/fake-amqplib' ) ;amqplib . ...
fake-gcs-server：Google Cloud Storage模拟器和测试库
02-04
fake-gcs-server为Google Cloud Storage API提供了一个模拟器。 它可以用作Go项目中的库和/或独立的二进制/ Docker映像。 该库位于包中，可以在Go包的测试套件中使用。 该仿真器作为二进制文件提供，可以手动构建...
反调试技术源码与实例汇编版
10-05
汇总归纳了各种反调试技术，提供各种反调试实例及源代码。 http://www.ucooper.com/anti-debug-methods-asm.html 反调试技术 2 发现OD的处理 2 1. 窗口类名、窗口名 3 2. 检测调试器进程 4 3. 父进程是否是Explorer 5 4. RDTSC/ GetTickCount时间敏感程序段 7 5. StartupInfo结构 7 6. BeingDebugged 8 7. PEB.NtGlobalFlag , Heap.HeapFlags, Heap.ForceFlags 10 8. DebugPort: CheckRemoteDebuggerPresent()/NtQueryInformationProcess() 11 9. SetUnhandledExceptionFilter/ Debugger Interrupts 13 10. Trap Flag单步标志异常 15 11. SeDebugPrivilege 进程权限 16 12. DebugObject: NtQueryObject() 16 13. OllyDbg：Guard Pages 17 14. Software Breakpoint Detection 19 15. Hardware Breakpoints 21 16. PatchingDetection CodeChecksumCalculation补丁检测，代码检验和 22 17. block input封锁键盘、鼠标输入 23 18. EnableWindow禁用窗口 23 19. ThreadHideFromDebugger 24 20. Disabling Breakpoints禁用硬件断点 26 21. OllyDbg:OutputDebugString() Format String Bug 27 22. TLS Callbacks 27 反反调试技术 31
汇编达人视频学习7（拓展课：外挂是什么、ESP寻址、EBP寻址、ESP传参的弊端）
太阳照耀我走四方
08-05 478
title: 汇编达人视频学习7（拓展课：外挂是什么、ESP寻址、EBP寻址、ESP传参的弊端） date: 2021年8月4日 17点17分 tags: 汇编达人 categories: 汇编达人 24、外挂的本质 1、修改内存中的值 2、调用它的某个函数 25、ESP寻址 1、寄存器传参 函数： mov eax，ecx add eax，edx ret 调用函数： mov ecx，1 mov edx，2 call 0x地址 2、堆栈传参 当要传递的参数太多，寄存器不够用的时候，就要使用堆栈的方式，进行.
反调试之Fake F8
weixin_45798017的博客
05-13 221
目的 让F8/F7 调试功能失效 反调试 1. 单步步入（F7）单步步过（F8) 1）单步步入和单步步过的区别 F7和F8在普通指令上都是一样，单行步步执行，区别在于CALL指令 若call 下面的地址编码，下面编码又操作了一系列命令，按F7要一条条执行，按F8等同看作一条执行执行下面自己编写的所有连贯命令。 2）调试器实现原理： 断点：0xCC 按F2，本质是int 3，CPU执行到这个指令自动停下来 单步步入：设置EFLAGS的TF位 单步步过：在下一行设置断点 ...
汇编基本指令复习，以及逆向中如何跟esp ,ebp参数
南的专栏
12-13 3840
mov eax , ebx   // eax = ebx lea eax , [ebx + 30] // eax = ebx + 30 push pop  //入栈，出栈 pushax popax //全部入栈，全部出栈 add eax,5 // eax += 5 sub eax, 5 //eax -= 6 inc eax  // eax += 1 mul  //乘法 div  /
新人的游戏逆向安全追数据找CALL学习笔记
qq_41853215的博客
04-03 3270
题目是新手笔记,大佬别看了. QQ2222112176一起交流学习 最重要的第一点,一定要懂正向,了解数据结构,脑中构思功能间的调用关系. 比如打怪功能.,点击怪物之后触发的功能调用可能如下 鼠标点击CALL { ..判断点的什么东西call { ....选中怪物call { ......走路call { ..........攻击call { 技能CALL { ... ... } } } ...
反调试技巧总结-原理和实现
瞎几把学
01-18 3553
 标 题: 【原创】反调试技巧总结-原理和实现(1)(2)(3)(4)(5)(6)......作 者: shellwolf时 间: 2008-08-10,22:40链 接: http://bbs.pediy.com/showthread.php?t=70470反调试技巧总结-原理和实现-------------------------------------------------------
逆向入门之使用ESP定律脱壳
a3320315的博客
04-03 1380
使用ESP定律脱壳实战 查壳 载入OD 首先F8 在这么多寄存器中，只有ESP是红色的，则可以使用ESP定律来脱壳 选择好ESP地址，然后右键，在数据窗口中跟随 这个时候就来到了ESP指定的地址 然后选择几个数据（多少无所谓） 最右边三个选项随便选，都无所谓 然后点击运行，这个时候程序就会停在我们设置好的硬件断点上 然后删除硬件断点 然后一直F8 知道出现这个页面 然后右键...
day19.反调试之FAKE F8
安全参透之旅
02-12 392
第19节：反调试之FAKE F8前面学的汇编如何使用，其实我们学的汇编是学习编程的基础，它能解决的问题很多，我们现在来介绍一下反调试，大家都知道做底层安全的人，如果看汇编代码的话，跟看C语言没有什么区别，如果一款软件不能让它很容易的调试，就要用到反调试功能。1、单步步入（F7），单步步过（F8）1)单步步入与单步步过的区别F7在程序调试中是一行行执行的，F8也是一样的，但是在某些情况下不一样，如：...
深度伪造技术：DeepFake与反制策略
制作深度伪造视频主要依赖于一系列工具，包括FakeApp、DeepFaceLab、FaceSwap、OpenFaceSwap以及MyFakeApp等。这些工具通常需要经过几个步骤来完成面部交换。首先，从源视频中提取图像，接着从源图像和目标图像中...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值