魔恩：如何找CALL参数[esp/ebp+]来源与局部变量[ebp-]来源

最新推荐文章于 2023-10-25 10:52:16 发布

「已注销」

最新推荐文章于 2023-10-25 10:52:16 发布

阅读量2.6k

点赞数

本文介绍了一种在汇编语言中定位CALL指令参数的方法，详细解释了如何通过ESP寄存器的不同偏移找到对应的参数，并针对特殊情况提供了解决方案，如使用条件断点处理立即断下的情形，以及如何寻找较大偏移量的参数来源。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

找这种：MOV EBX,DWORD PTR SS:[ESP+10]  的来源，
要知道：[esp/ebp+8]  是CALL的第一个参数
      [esp/ebp+0c] 是CALL的第二个参数
      [esp/ebp+10] 是CALL的第三个参数
   类推，每次都是加4，因为push 占用4字节。
找法的话，通过找上一层CALL的参数，例如：[esp+8] 是上一层第一个参数，就返回上层，分析CALL的第一
个参数，可以通过对比[esp+8]的值与CALL的参数值相同就说明对了。
====================================
例外情况#1：
这种情况是当你返回上一层分析CALL参数的时候，下断立即就断下，是无法对比[esp+8]的值的，
解决的话：需要使用条件断点shift+F2,这技术在我们的第四款二叉树游戏辅助课程有教授。
====================
如何下多条件断点：
请学习VIP绝密课程：
【VIP绝密教程】多重过滤心跳包技术解决断太快与断后返回相同数据。
VIP绝密教程入口：http://www.moguizuofang.com/bbs/forum-47-1.html
======================================
例外情况#2：
MOV EBX,DWORD PTR SS:[esp+50]
像这种比较大的偏移的时候，找来源考虑找整体，往上找像：
mov [esp+50],ecx  这类的语句，这时候就是往上找ECX了。
=====================================
如何找
mov eax,[ebp-4]/[ebp-8]/[ebp-0c] 等
的来源
请学习VIP绝密课程：【VIP绝密教程】教你如何找局部变量的来源？
VIP绝密教程入口：http://www.moguizuofang.com/bbs/forum-47-1.html