-
-
[求助] 有什么较好的方法追溯是哪句代码写入 [esp+10]？
-
发表于: 2025-4-18 16:21
-
|
|
|---|---|
|
|
|
|
|
Suppose 发表于 2025-4-18 18:01 硬件访问断点 很有很多个地方调用了这个call，很容易被其他的干扰调用断下，请问有什么好的解决方法吗？ |
|
|
你要是不想漏掉什么重要的东西，最好的方式就是一个一个看，虽然麻烦但是不会有漏的 |
|
|
|
|
|
|
|
|
对的 不过有很多时候一些小技巧还是事半功倍，对于一些麻烦些的操作我也想看看大家是怎么处理的，说不定有比较好的思路 嘻嘻 |
|
|
有吗，我印象中好像没有哪个寄存器会记录上次跳转的地址，对于一些不知道从哪里跳转过来的代码，我都是直接查看引用，看看哪里有引用这个地方 |
|
|
你这样很难学的..刚搜了下在sp里，有返回地址 建议先把王爽的汇编语言过一遍，或者常用ai问问
最后于 2025-4-25 17:48
被萌克力编辑
，原因：
|
|
|
sp寄存器是指esp或rsp吗？这不是栈顶寄存器吗？只能说返回地址存在栈里面，不能说esp寄存器一定指向返回地址吧？ |
|
|
我知道你的意思是当调用一个call的时候，参数先入栈，然后返回地址入栈，然后进入call内，但是我问的不是这个。我问的是在函数体里面如果[esp+10]（临时变量）被写入了值，是哪里写入的（可以在函数头对[esp+10]下硬件断点），但是由于我这个call频繁的被各种地方调用，所以很难定位到特定的call调用，当然笨办法就是不断筛选调用，直到自己想要的特定调用触发，然后以这个特定call的参数先下一个条件断点，当特定call由于条件断点断下后，我再在函数头部对[esp+10]下一个硬件断点，然后执行，看函数体（函数体很长，很难逐步分析哪里进行了写入）哪里改变了[esp+10] |
|
|
|
