如何继续跟踪呢

ok8953 · 发表于 2024-1-8 11:33

跟踪代码到这一句，160C6287 8B80 38010000 mov eax,dword ptr ds:[eax+0x138] ; 要等于0

dword ptr ds:[eax+0x138] 这个地方不知道如何跟踪，哪里给它复值，下了硬件断不管用，发现每次这个地址都是变化的。请各位老师指点

hou · 发表于 2024-1-8 11:53

使[eax+0x138]==0?
那你可以
jmp xxxxxx
mov dword ptr ds:[eax+0x138],0
mov eax,dword ptr ds:[eax+0x138]
jmp yyyyyy

ok8953 · 发表于 2024-1-8 12:21

hou 发表于 2024-1-8 11:53
使[eax+0x138]==0?
那你可以
jmp xxxxxx

这里直接改值，不行的，必须要找到给[eax+0x138]值的地方，才能一劳永逸

hou · 发表于 2024-1-8 12:35

ok8953 发表于 2024-1-8 12:21
这里直接改值，不行的，必须要找到给[eax+0x138]值的地方，才能一劳永逸

那便继续找eax是谁给值的,相当于找基址址了

ok8953 · 发表于 2024-1-8 14:03

本帖最后由 ok8953 于 2024-1-8 14:06 编辑

hou 发表于 2024-1-8 12:35
那便继续找eax是谁给值的,相当于找基址址了

是想继续找EAX是谁给值的，就是卡住这里了啊，不会继续找了，每次EAX的地址都不同
在这个EAX地址下硬件断点，断不下来，地址一变又不同了，断点不起作用。

Rooking · 发表于 2024-1-9 01:06

你就发个代码怎么追踪

haier8917 · 发表于 2024-1-10 21:35

什么软件呢

hou · 发表于 2024-1-11 15:31

ok8953 发表于 2024-1-8 14:03
是想继续找EAX是谁给值的，就是卡住这里了啊，不会继续找了，每次EAX的地址都不同
在这个EAX地址下硬件断 ...

看汇编啊,看地址干什么呢,地址是动态的,你当然断不下来
mov eax,dword ptr ds:[eax+0x138],这语句上面,
必定有 mov eax,XXXXXXXXX 或 lea eax,XXXXXXX 或 pop eax 之类影响了eax值的汇编语句

严启真 · 发表于 2024-1-11 20:42

往前找，申请地址的地方，这应该是一个数组或指针，它是申请的，肯定地址会变，但必然有申请的地方……

		自动登录	找回密码
密码			立即注册