od(3)实践

程序起始地址：0x00401000

• 在一般的WIN32程序中文件头偏移被放在文件0X3C处，在那我们通常可看到00010000，由于数据存储时是低位在前，高位在后的，所以翻转过来实际就是00000100

每个函数都被中括号清晰的标识出来。

当发现断点检测时，可避开扫描区域（计算出区域范围），也可暴力改写（填充nop）。

有些软件会加壳保护自己，让你无法直接使用od，所以，还需要一个检测壳的工具（peid）。

• ep section显示.text表示没有壳。

 硬件断点

• F4：运行到选定位置。作用就是直接运行到光标所在位置处暂停。
• F8：也利用了一次性硬件断点不过是在断点下一行建立硬断，建立之后运行一次自行删除

返回上一层代码

• CTR+F9：执行到返回。此命令在执行到一个 ret (返回指令)指令时暂停，常用于从系统领空返回到我们调试的程序领空。
• ALT+F9：执行到用户代码。可用于从系统领空快速返回到我们调试的程序领空。

 

转载于:https://www.cnblogs.com/theinspiration/p/9607403.html