- 注册时间
- 2010-6-12
- 最后登录
- 2019-9-29
- 在线时间
- 53 小时
终身VIP会员
  
- 魔鬼币
- 55135
|
我们在使用OD做CALL调试的时候大家都会选择嵌入一句 __asm INT 3;来让OD自动断在我们需要的代码处。经过测试发现DNF拦截了INT 3的中断门，一旦程序运行到INT 3就会跳转到DNF内的一段代码，直接将游戏T下线。在这里呢就不讲如何恢复了，对我来说这个还做不到，于是想到了一个替代办法，没脑人也能做成事，多出点傻力气也就可以了。言归正传。
或许许多人对SYSER的操作还不熟悉，这里就详细的按步说下。
在我们写打DLL代码中，想在哪里断下我们就在那个位置添加一句：__asm MOV EAX,1F0001
这样做的前提是：你接下来的代码不会使用到EAX的数据，如果使用到了，你可以更换成其他的对下面代码没有影响的寄存器。另外你还要能够手工触发你的被测试代码，例如按某个键就执行你需要测试的代码。
上面的条件都满足了那我们继续：
CTRL+F12 进入SYSER的界面，输入命令：ADDR DNF 进入DNF的领空，鼠标点击菜单Tools菜单，选择第一项：Memory Search 也就是内存搜索工具，弹出搜索对话框 我们设定第一项TYPE为DWORD,搜索内容自然是1F0001，接下来是Range也就是搜索区域设置，我们点击Select module按钮来选择当前DNF的类，在列表中选择你要测试的代码所在的类，双击类名称后面的起始地址，这样搜索范围就被固定在这个类中了。点下find按钮，在内存显示窗口内就会出现匹配的数据了，我们需要的是数据的地址。
得到数据的存储地址后，我们在下面的命令窗口输入命令： U 地址 注意这里的地址就是刚刚我们得到的数据存储地址，U后面是有空格的。命令成功执行后，我们可以移动下代码窗口右侧的滚动条，让SYSER得以正确识别代码。
这里我们说下为什么选择使用1F0001这个数值，大家通过上面步骤看到了，它其实的作用就是一个特征码，既然是特征码，它越具有唯一性对我们的寻找也就越有帮助，通过上面的步骤如果运气好的话，那找到的就是你自己的代码，也就是：__asm MOV EAX,1F0001;所在的，你的程序里的位置，如果不是的话可以继续搜索find next，我想大家都应该有能力识别出到底找到的地方是不是自己想要的地方，如果连自己的程序反汇编后事什么样都判断不出来的话，不建议看本文，还要多加努力。
我们通过特征码方式找到了自己的程序特定的代码段，剩下来的工作就是F9在这里下个断点了，呵呵，然后一切随你操作了就，人工断点完成。
单步步进快捷键F11,步过F10,继续运行F5，或者输入命令X
就到这里。 |
|
发表于 2010-7-14 15:09:08
看不懂
