浅谈逆向——OD断点简介(OD的使用3)

最新推荐文章于 2021-03-07 20:30:39 发布

他们说快写一首情歌

最新推荐文章于 2021-03-07 20:30:39 发布

阅读量8.7k

点赞数 8

CC 4.0 BY-SA版权

分类专栏：逆向工程文章标签： OD 断点

本文链接：https://blog.youkuaiyun.com/qq_38684512/article/details/86615482

逆向工程专栏收录该内容

7 篇文章

订阅专栏

本文深入探讨逆向工程中的断点技术，包括INT3断点、硬件断点、内存断点、消息断点和条件断点的使用方法与特点。通过实际案例，解析不同断点在软件调试中的应用策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

浅谈逆向-OD断点简介

常用断点

INT 3断点，硬件断点，内存断点，消息断点…

INT 3断点

常用，OD中可以使用bp命令或F2快捷键来设置/取消。当执行一个INT 3断点时，该地址处的内容被调试器用INT 3替换了。此时OD将INT 3隐藏起来，显示中断前的指令。由于INT 3指令的机器码时0xCC故此也常称之为CC指令。

当被调试进程执行INT 3指令导致一个异常时，调试器就会捕捉这个异常，从而停在断点处，然后将断点处的指令恢复为原来的指令。

使用INT 3断点的优点是可以设置无数个断点，缺点是改变了源程序机器码，容易被软件检测到。例如，为了防范API下断，一些软件会检测API的首地址是否为0xCC(以此判断是否被下断)。用C语言实现这个检测，方法是取得检测函数的地址，然后读取它的第一个字节，判断它是否等于CC。为了避免程序自己发现被设断跟踪，通常将断点设置在函数内部或末尾。

硬件断点

硬件断点和DRx调试寄存器有关，在这里插入图片描述

DRx 调试寄存器共有八个(DR0~DR7)，每个寄存器的特性如下。
DR0~DR3：调试地址寄存器，用于保存需要监视的地址，例如硬件断点。
DR4~DR5：保留，未公开具体作用。
DR6：调试寄存器组状态寄存器。
DR7：调试寄存器组控制寄存器。

硬件断点的原理是：使用DR0~DR3设定地址，并使用DR7设定状态，因此最多设置四个断点。硬件断点与CC断点执行的作用一样，但因为硬件执行断点不会将指令首字节修改为CC，所以更难检测。设断方法是在指定的代码行单击右键（断点->硬件执行也可以在命令行中执行HE地址)。

右键单击寄存器面板，查看调试寄存器，接着设置硬件断点，按F9键执行程序，程序就会中断设定处。查看调试寄存器，发现DR0的数值改变为设定断点处的地址。设置断点后，OD实际上是将DP0~DR3中的一个设置为下断处的地址，然后再DR7中设置相应的控制位。这样当程序运行到下断处，CPU就会向OD发送异常信息，OD对该信息进行初步处理后，中断程序，让用户继续操作。

删除硬件断点，单击菜单调试->硬件断点。打开硬件断点面板，单击删除按钮即可。
F4 ——执行到光标所在的行，原理同调试寄存器，在中断后自动删除，相当于在中断后自动删除，相当于执行了一次性硬件断点。硬件断点的优点是速度快，在INT 3 断点容易被发现的地方使用硬件断点会有很好的效果，缺点是最多只能使用四个。

内存断点

OD可以设置，内存访问断点和内存写入断点。原理是对所设的地址赋予不可访问/写入属性，这样当访问/写入的时候就会产生异常。OD截获异常后，比较异常地址是不是断点地址，如果是就中断，让用户继续操作。

因为每次出现异常时都要通过比较来确定是否应该中断，所以内存断点会降低OD的执行速度——OD考虑执行速度，所以只允许下一个内存断点。

程序运行时有三种状态读取，写入和执行。
添加内存断点：在反汇编区右键快捷菜单中断点->内存写入/访问
删除内存断点：在反汇编窗口右键快捷菜单断点->删除内存断点

单个硬件写入/访问断点也可实现上述功能。在数据面板窗口选中地址后，可以设置为1/2/4字节，不论选择的数据范围有多大，只有前四个字节会起作用。选中需要下断点的地址区域，单击右键执行快捷菜单，断点->硬件写入->字节数。

硬件写入/访问断点，会让程序中断在触发硬件写入断点的下一条指令处，而内存断点则是在触发断点的指令处下断。

内存断点不修改原始代码，不会像INT 3那样由于修改原始代码被程序效验导致下断失败。因此，在遇到代码效验且硬件断点失灵的情况下，可以使用内存断点。

内存访问一次性断

Windows对内存使用段页式的管理方式，在OD中使用快捷ALT+M显示内存

在这里插入图片描述

每个段都有不可访问，读，写，执行属性。可以利用右键快捷菜单在访问上设置断点，也可以使用快捷键F2，用于对整个内存块设置该类断点。这个断点式一次性断点，当所在段读取或者执行时就会中断。在中断发生后，断点会被自动删除，如果想捕捉调用或者返回某个模块，可能要更多的考虑这类断点，注意：仅在NT架构下可用。

消息断点

Windows本身是由消息驱动得，如果调试时没有合适得断点，可以尝试消息断点。当某个特定窗口函数接收到某个特定消息时，消息断点将使程序中断。

消息断点和INT 3断点的区别，INT 3断点可以在程序启动之前设置，消息断点只有在窗口被创建之后才能被设置并拦截消息。当用户操作，单击按钮，移动光标，向文本框输出时，一条消息就会发送给当前窗体。所有发送消息都有四个参数，1.窗口句柄(hwnd)，2.消息编号(msg)，3.4 32位长参数(long).

Windows通过句柄标识它所代表的对象。例如，在单击某个按钮时，Windows通过他的句柄来判断单击了哪一个按钮，然后发送相应的消息来通知程序。在OD加载运行程序后，输入用户名和序列号，选择查看->窗口(或者工具栏中的W)，列出窗口相关参数。如果界面上没有内容，则应执行右键菜单的刷新选项。这里列出了所有属于被调试窗口及与窗口相关的重要参数(例如按钮，对应ID及句柄Handle等)，在需要下断的地方设置消息断点，即事件发生时程序中断。

在这里插入图片描述

在这里插入图片描述
在这里例子中，我们关注Check，这个消息属于按钮(button),当单击按钮并松开时，会发送(WM_LBUTTONUP)这个消息，故此下拉菜单选择202就可以，单击确定则断点设置完成。

在本例中，单击Check按钮后，程序中断在了Windows系统代码中，此时执行到返回/用户代码失效。

消息已经捕捉到了，但还处于系统底层代码中，不属于TraceMe主程序代码。主程序代码在以00401000h开头的.text区域，从系统代码回到应用程序代码段的时候，正是.text区块代码执行的时候，对.text区块下内存断点就能返回应用程序的代码领空。

运行程序，程序立刻中断在004010D0h处，这段代码是一个消息循环，处理TraceMe主界面的各类消息，如果单步追踪，会进入系统代码，重复上述操作，直到到达处理事件按钮处。

条件断点

断点在满足一定条件时才会中断，这类断点称为条件断点。OD条件断点可以按照寄存器，储存器，消息设断。他是一个带有条件表达式的普通INT 3断点。当调试器遇到这类断点时，断点将计算表达式的值，如果结果非0或表达式有效，则断点生效。

样例传送门：链接：https://pan.baidu.com/s/18Ypug49IsBVFKeeyXxdIIQ
提取码：xs46

按寄存器条件中断
在00401476h处按下设置条件断点的快捷键Shift+F2，在条件文本框中输入表达式(eax==0400000)，这样程序执行到00401476h处，如果eax满足条件OD会中断，反之不能中断。

按储存器条件中断
以CreateFileA函数演示，OD在CreateFileA打开所需文件时中断。CreateFileA 函数定义代码如下：

HANDLE CreateFile
(
   LPCTSTR   			 lpFileName,             //指向文件名的指针
   DWORD	 			 dwDesiredAccess, 	     //访问模式（写/读）
   DWORD	  			 dwShareMode,		     //共享模式
   LPSECURITY_ATTRIBUTES lpSecurityAttributes,   //指向安全属性的指针
   DWORD				 dwCreationDisposition,  //如何创建
   DWOED				 dwFlagsAndAttributes,   //文件属性
   HANDLE			  	 hTemplateFile 			 //用于复制文件句柄
)

``
给CreateFileA设断，单击"OpenText"按钮。它采用标准调用约定，从右到左依次入栈。函数开始执行时，EBP 栈结构还未建立，所以只能通过ESP访问这些参数。OD中如果想得到第一个参数的内存地址，可以使用[ESP+4]，如果还要得到此地址指向的字符串，需要使用[[ESP+4]]。
在这里插入图片描述
实例四次调用CreateFileA，假设我们需要在第4次时中断，我们应该在CreateFileA第一行下条件断点，[String[esp+4]]==“c:\abc.txt” (String 在OD中意味以零结尾的ASCII字符串)。