ESP定律的原理

最新推荐文章于 2023-09-17 13:06:36 发布

weixin_34101229

最新推荐文章于 2023-09-17 13:06:36 发布

阅读量167

点赞数

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/luzhlon/p/7388537.html

本文介绍了一种通过设置硬件内存访问断点来定位原始入口点(OEP)的方法。壳代码开始时使用PUSHAD指令保存寄存器状态，在解压程序代码后通过POPAD指令恢复这些值。这种方法利用了解压过程中必定会触发的断点，帮助逆向工程师找到真正的OEP。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

壳代码在一开始会使用PUSHAD指令将所有的寄存器入栈，此时ESP所指向的内存记录着某一个寄存器的值。

然后我们ESP指向的内存处下一个硬件内存访问断点

执行完壳代码后会将所有的寄存器值出栈以平衡堆栈POPAD，CPU需要访问原ESP记录的值，壳代码解压完程序代码后，最后平衡堆栈时必然要从ESP所指向的内存中读取之前存入的某个寄存器的值，所以必定会触发此断点，此时离真正的OEP也不远了

PUSHAD指令压入32位寄存器，其入栈顺序是:EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI

转载于:https://www.cnblogs.com/luzhlon/p/7388537.html

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。