Windbg常用命令 - 修改可执行内存属性断点

最新推荐文章于 2025-09-28 14:41:29 发布

原创最新推荐文章于 2025-09-28 14:41:29 发布 · 623 阅读

0 ·

CC 4.0 BY-SA版权

常用Windbg命令专栏收录该内容

4 篇文章

订阅专栏

本文探讨了如何使用调试命令在32位程序中针对内存地址设置断点，当内存区域的属性变为可读写执行且大小为0x57e0时，触发断点并打印相关信息。调试过程中，printf命令的特殊转义字符使用和逻辑条件的组合是关键。

下面命令对32位程序有效，当修改内存属性为读写执行并大小是0x57e0时断下，并打印出地址、大小、和新属性值

bp kernel32!VirtualProtect ".if((poi(@esp+4*3)==40)&(poi(@esp+4*2)==57e0)){.printf \"addr=0x%08x size=0x%08x newProtect=0x%08x\\n\",poi(@esp+4),poi(@esp+4*2),poi(@esp+4*3);.echo hit!!! }.else{gc}; " "

在这里插入图片描述

比较坑的是.printf命令，换行要用\\n才行。
.if（）中两个条件用一个&符号分割