内存断点介绍

一、设置内存断点
1.选中一条指令，右键–数据窗口中跟随，有许多选项
（1）选择
（2）内存地址
（3）立即数
（4）堆栈隐含地址…
分别可以跟到不同的内存地址，比如选择立即数，就是跟到立即数所在的内存地址，选择，就会跟到选择的指令所在的内存地址…到时候自己可以看一看试一下
2.在内存中选择一段内存，右键–断点–内存访问
只要对这段内存进行了读、写、访问等等，就会断下
内存断点没有地方帮你记录，得自己记着，在哪下过断点
内存断点只能设置1个，删除的时候只能选择，断点，删除断点
3.内存断点能区分访问还是写入（有两种模式，）：
比如设置写入的话，单纯访问内存是不会断下来的

比如设置内存写入断点，如果401007是写入内存的话（比如mov [402000],eax），会下断
如果401007是单纯访问的话（比如mov eax,[402000]）不会下断
4.内存断点的原理：如果设置一个访问断点，就会修改这个内存为不可访问，当有代码访问时，就会触发异常，从而下断。断下来之后，他会恢复内存，执行完这条指令，到下一条指令了，这条指令的内存会再次变为不可访问属性，只要你不取消，他就一直生效
5.内存断点重载的话会清空
6.注意，内存断点，如果有多条指令对同一个内存地址进行了写入、访问，而恰好在这各内存地址设置了断点，则会多次断下

二、在区段内设置内存访问断点
1.点击M，查找各段，在选中段设置内存访问断点，相当于在这个一整段内都设置了断点
区段的内存断点和单下断点一样，只能设置一个。
区段设置内存断点，通常用于分析动态链接库，下到系统领空的区段，比如下到不同的dll内，方便我们分析
2.快速从系统领空的内存断点返回程序领空，比如断到了系统领空，快捷键alt+f9，就可以快速返回程序领空，ctrl+f9，可以快速定位到此调用函数的返回地址，再单步执行一下，也可以返回到程序调用处
3.如果alt+f9不能快速返回程序领空的话，可以自己看堆栈内的返回地址，手工返回，为什么会返回不了呢？将在后面解释
4.设置内存断点可以很大程度反反调试，但是有的程序也是可以检测内存断点的。