找这种:MOV EBX,DWORD PTR SS:[ESP+10] 的来源,
要知道:[esp/ebp+8] 是CALL的第一个参数
[esp/ebp+0c] 是CALL的第二个参数
[esp/ebp+10] 是CALL的第三个参数
类推,每次都是加4,因为push 占用4字节。
找法的话,通过找上一层CALL的参数,例如:[esp+8] 是上一层第一个参数,就返回上层,分析CALL的第一
个参数,可以通过对比[esp+8]的值与CALL的参数值 相同就说明对了。
====================================
例外情况#1:
这种情况是 当你返回上一层分析CALL参数的时候,下断立即就断下,是无法对比[esp+8]的值的,
解决的话:需要使用条件断点shift+F2,这技术在我们的第四款二叉树游戏辅助课程有教授。
====================
如何下多条件断点:
请学习VIP绝密课程:
【VIP绝密教程】多重过滤心跳包技术解决断太快与断后返回相同数据。
VIP绝密教程入口:http://www.moguizuofang.com/bbs/forum-47-1.html
======================================
例外情况#2:
MOV EBX,DWORD PTR SS:[esp+50]
像这种比较大的偏移的时候,找来源考虑找整体,往上找像:
mov [esp+50],ecx 这类的语句,这时候就是往上找ECX了。
=====================================
如何找
mov eax,[ebp-4]/[ebp-8]/[ebp-0c] 等
的来源
请学习VIP绝密课程:【VIP绝密教程】教你如何找局部变量的来源?
VIP绝密教程入口:http://www.moguizuofang.com/bbs/forum-47-1.html
魔恩:如何找CALL参数[esp/ebp+*]来源与局部变量[ebp-*]来源
最新推荐文章于 2023-10-25 10:52:16 发布