合购VIP资源论坛

 找回密码
 立即注册

QQ登录

只需一步,快速开始

魔鬼作坊全套软件编程VIP教材[更新到最新]
重楼C++辅助是如何炼成的教材
独立团编程培训系列教材全套
九尾狐EZ按键脚本VIP系列教程
VC++传奇三逆向研究三部曲 打包
江中游VIP系列按键精灵培训班
播布客新概念C语言视频教程
小生我怕怕中级班破解培训教材[价值2000元]
紫猫VIP按键精灵培训教程
2013饭客大型职业入侵渗透特训班
蓝丝雨TC《商业辅助是怎样炼成的》
老A淘宝打造爆款系列教材[更新至第九期]
上百G电脑维修硬件维修手机维修教程
菜鸟腾飞MetaSploit渗透测试平台之应用
甲壳虫VIP绝版SEO优化系列教程
半斤八两VIP初级破解班1-27官方售价500元
半斤八两中级破解教程价值1000元
天都吧全站教程高清无密更新完毕
暗月渗透系列教程第一套更新完毕
暗月渗透系列教程第二套更新完毕
DIY商业辅助学院201VIP教程[基础实战LUA篇]
老王Python培训视频教程(价值500元)
2014年小七免杀论坛VIP系列第三季 (美女讲师)
一洋2014淘宝培训最新教程16个模块(价值2980元)
大猛网赚编程系列教程(价值699元)
C++ Primer视频教程(初级,中级,高级全套)
轩辕IT培训 Linux C++ 远程全科班[价值500元]
C++实地培训教程[持续更新中]
魔域辅助系列教程(价值300元)
burpsuite系列视频教程高清无KEY 
 侠客C#营销软件开发特训(价值880元)[高清版]
滴水网络初级逆向培训视频(价值800元)逆向必备
某米网价值2399元钻石VIP会员视频
价值上万元淘宝大学电子商务培训教材
敬伟PS教程/PS5 6视频教材书/平面 广告设计淘宝美工自学全套高清
安全渗透测试实践高级系列课程[价值1500元]
AGP驱动高级班VIP零基础游戏反驱动保护教程
7000元AGP论坛远程VIP培训班
梦幻西游2辅助系列视频教程
龙之谷辅助系列视频教程
世恒百集易语言教程全套100集更新完毕
广告位置招租150/月 联系QQ:1595000430
Hadoop七天培训[更新完毕] JAVA上海培训基础就业班 达内C++ 2014 培训第一期视频教程
Windows程序设计第五版视频教程[价值1700]
SEO培训史上最强SEO培训(价值4980元)[高清完整版]
老男孩python高级运维开发课程(高清完整版)
老男孩OpenStack企业私有云实战培训课程(价值800元)
Java 编程思想系列教程[初级中级高级]
在线开通VIP会员联系QQ:1595000430点击这里给我发消息
在线开通VIP会员联系QQ:1595000430点击这里给我发消息 
上千G精品VIP教程目录请点击这里 加入VIP会员全站无限制下载 免费获取VIP会员说明详细点击
永久电影资源采集网
超级资源采集网--用心创造快乐

OK资源网无水印高清资源

速播资源-更新快速度保证也不卡
广告位招租联系QQ:1595000430
永久电影资源采集网
永久电影资源采集网
8k资源网超清资源国内百G带宽
广告位招租联系QQ:1595000430
查看: 191|回复: 0

[数据结构与算法] 通过调试游戏,我们来了解64位汇编指令(一)

[复制链接]
  • TA的每日心情
    开心
    前天 01:30
  • 签到天数: 23 天

    [LV.4]偶尔看看III

    9

    主题

    32

    帖子

    68

    合购币

    ○小试身手●

    UID
    277002
    积分
    100
    合购币
    68 枚
    注册时间
    2019-5-23
    最后登录
    2020-2-17
    发表于 2020-1-14 16:16:06 | 显示全部楼层 |阅读模式
    本帖最后由 任鸟飞 于 2020-1-17 12:43 编辑

    之前我们对64位的通用寄存器和一些常用的调试器功能有了初步的认识,下面我们来通过调试游戏,对64位的汇编指令进行了解。
    首先我们先对一款游戏的内息值进行扫描, 最终可以得到一个结果(如图)


    1.png



    在xdbg64中跟随地址,并在数据窗口中观察周围的地址(如图)


    2.png



    我们发现这地址其实是以4字节存放的,而在他的周围还有角色的一些其他的属性,也均是以4字节存放。于是我们在OD中下4字节的硬件访问断点,游戏在消耗内息,或者打开角色栏时游戏会断下(如图)


    3.png



    先将断点删点,在上方的标签中找到断点,右键删除其中的硬件断点,并将游戏运行起来(如图)


    4.png



    正常来讲我们是要追rdi的来源的,因为rdi+48是我们下访问的地址,但是在这个地址的附近并没有太多角色的属性,包括名字等等。而且当我们对其改动时会发现他会很快进行修正,而不会对我们的本地效果产生影响。所以我们要分析其比较的来源r13d。
    r13d和eax一样,是32位寄存器,相当于r13的低32位。向上分析r13d,我们一条cmovl指令,这条指令在之前的游戏代码中是很少见的,他的意思是小于传递,其中的l是小于的意思。通过判断其上一条的cmp edx,ebx的结果,来决定本条的赋值是否执行。
    我们通过下在cmp edx,ebx处下F2断点,并F8单步执行来观察寄存器的变化(如图)(如图)


    5.png



    6.png





    在第一幅图中,edx小于rbx,所以在第二幅图中r13d被edx进行赋值。类似的指令还有上面会出现的cmovg,cmove,cmovge,cmovle等等,这些指令往往都与前一条cmp或者test指令的结果相关,和跳转指令是类似的。当然,如果想对其有深入的了解,还需要对rflags,也就是标志寄存器的变化进行学习,不过一般来说我们并不需要对这个进行死记硬背(如图)


    7.png



    继续向上分析edx,如果代码代码段太长,观察起来不方便,可以点H,在点击edx寄存器,来对其进行高亮设置(如图)


    8.png



    得出其来源于eax,而eax来源于xor eax, 0xa59cf5b6,这是一条位异或的指令,相当于一个简单的加密代码,而继续向上分析eax,则来源于mov eax, dword ptr [r12 + 0x178]
    这里要注意逗号后面的赋值范围是dword,如果是qword则需要赋值8字节,不过既然是赋值给eax的那么自然不可能赋值8字节。这样就得到了数据的第一层偏移0x178。
    继续向上分析r12的来源,可以得到来源于call 0x1a9cec0的返回值rax(如图)


    9.png



    在call里可以得到一个遍历代码,我们放到下一篇文章来接着写。

    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    QQ|小黑屋|手机版|Archiver|合购VIP资源论坛 |网站地图

    GMT+8, 2020-2-19 00:18 , Processed in 0.125000 second(s), 28 queries .

    Powered by Discuz! X3.4

    Copyright © 2001-2020, Tencent Cloud.

    快速回复 返回顶部 返回列表