OD内存断点初步分析

最新推荐文章于 2025-03-09 18:02:03 发布

zxu618

最新推荐文章于 2025-03-09 18:02:03 发布

阅读量5.2k

点赞数 2

分类专栏：逆向调试

本文链接：https://blog.youkuaiyun.com/ben_chang/article/details/45288971

版权

本文深入探讨了内存断点的工作原理，通过IDA静态分析了解内存断点的实现，接着使用OD动态调试分析了_setmembreakpoint函数的流程，揭示了内存断点信息在内存中的存储方式，包括地址、长度、属性等关键信息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

内存断点原理：

内存断点原理，通过将内存断点所在内存页的属性修改为内存断点属性（non-access or non-writable），程序执行时，对目标内存页中所有数据的访问或写，都会抛出异常，OD通过截获此异常，然后对比，存储在某一内存的内存断点信息表的地址，判断是否匹配内存断点地址范围，匹配则中断程序执行，否则，继续执行。

IDA静态分析：

本例利用IDA和OD动静结合，分析OD内存断点基本流程，以及内存断点存储在哪儿段内存地址。

首先将OD丢进IDA中，在程序函数列表中搜索breakpoint字符串，如图：

我们仅分析内存断点，通过function name 可知：_setmembreakpoint是我们需要分析的函数。跳到该函数分析，入口点部分截图：

可知，该函数有3个参数，通过F5(hexray)，其反编译伪代码：

signed int __cdecl Setmembreakpoint(__int16 a1, unsigned int a2, int a3)
{
  _DWORD *v3; // eax@3
  signed int result; // eax@5

  if ( !dword_4D8138 && VersionInformation.dwPlatformId != 2 )
  {
    v3 = Findmemory(a2);
    if ( a2 < 0x80000000 )     //判断内存断点地址是否在用户内存中（0x800000~0xffffffff属于系统内核内存区域）
    {
      if ( v3 && *((_BYTE *)v3 + 11) & 1 )   //判断内存断点是否在资源内存区域
      {
        if ( MessageBoxA(
               hWnd,
               "You are going to set memory breakpoint on resource. This breakpoint, when hit within system DLL, may freeze Windows or ca

最低0.47元/天解锁文章