Windows記憶體詳解（四）OD記憶體斷點初步分析

阿新 • • 發佈：2019-02-17

記憶體斷點原理：

記憶體斷點原理，通過將記憶體斷點所在記憶體頁的屬性修改為記憶體斷點屬性（non-access or non-writable），程式執行時，對目標記憶體頁中所有資料的訪問或寫，都會丟擲異常，OD通過截獲此異常，然後對比，儲存在某一記憶體的記憶體斷點資訊表的地址，判斷是否匹配記憶體斷點地址範圍，匹配則中斷程式執行，否則，繼續執行。

IDA靜態分析：

本例利用IDA和OD動靜結合，分析OD記憶體斷點基本流程，以及記憶體斷點儲存在哪兒段記憶體地址。

首先將OD丟進IDA中，在程式函式列表中搜索breakpoint字串，如圖：

我們僅分析記憶體斷點，通過function name 可知：_setmembreakpoint是我們需要分析的函式。跳到該函式分析，入口點部分截圖：

可知，該函式有3個引數，通過F5(hexray)，其反編譯虛擬碼：

signedint __cdecl Setmembreakpoint(__int16 a1, unsigned int a2, int a3)
{
_DWORD *v3; // [email protected]
signedint result; // [email protected]
if ( !dword_4D8138 && VersionInformation.dwPlatformId != 2 )
{
v3 = Findmemory(a2);
if ( a2 < 0x80000000 ) //判斷記憶體斷點地址是否在使用者記憶體中（0x800000~0xffffffff屬於系統核心記憶體區域）
{
if ( v3 && *((_BYTE *)v3 + 11) & 1 ) //判斷記憶體斷點是否在資源記憶體區域
{
if ( MessageBoxA(
hWnd,
"You are going to set memory breakpoint on resource. This breakpoint, when hit within system DLL, may freeze Windows or cause system crash. Do you really want to set this breakpoint?"

,
"Memory breakpoint on resource",
0x14u) != 6 )
return -1;
}
else
{
if ( v3 && *((_BYTE *)v3 + 11) & 4 ) //判斷記憶體斷點地址是否在堆疊記憶體區域
{
MessageBoxA(
hWnd,
"You are going to set memory breakpoint on stack. This doesn't work on Win95-based operating systems.",
"Memory breakpoint on stack",
0x10u);
return -1;
}
}
}
else
{
if ( MessageBoxA(
hWnd,
"You are going to set memory breakpoint in system area. This breakpoint may freeze Windows or cause system crash. Do you really want to set this breakpoint?",
"Memory breakpoint in system area",
0x14u) != 6 )
return -1;
}
}
if ( sub_418E24() )
{
result = -1;
}
else
{
dword_4D813C = a2;
dword_4D8140 = a3;
dword_4D8144 = a2 & 0xFFFFF000;
dword_4D8148 = (a3 + a2 + 4095) & 0xFFFFF000;
dword_4D8138 = (HIBYTE(a1) & 0x10) != 0;
dword_4D8D5C = 1;
if ( a1 & 3 && a3 )
{
if ( (a1 & 3) == 2 )
dword_4D814C = 32;
else
dword_4D814C = 1;
if ( dword_4D5A5C == 3 )
sub_419034();
result = 0;
}
else
{
result = 0;
}
}
return result;
}

OD除錯OD動態分析：

我們通過OD來除錯OD，分析setmembreakpoint函式的流程。

將OD丟進OD中，並在setmembreakpoint入口地址下斷點(F2)，並執行被除錯的OD。然後在被除錯的OD程式中載入除錯一個任意程式，並在某一地址下記憶體訪問斷點，如圖（被除錯的od程式中，在紅線0x401377處下了記憶體斷點）：

下完該記憶體斷點，除錯程式OD立即捕獲，並中斷在setmembreakpoint的入口地址，然後我們通過單步，檢視該函式的三個引數分別是神馬：

發現esi中的值即我們在被除錯程式中所下的記憶體斷點地址，edi為記憶體斷點的位元組長度（0x401377處指令為6bytes）。ebx值其實是記憶體斷點的屬性（訪問：0x00000003，寫:0x00000002），這裡我們之前下的是記憶體訪問斷點，所以ebx:0x00000003。

繼續單步執行，在0x4192fb處跳轉到0x41938d。先不管這裡為什麼會調轉。繼續單步，發現之後的彙編操作將我們所下的記憶體斷點資訊儲存到了某段記憶體中，如圖：

當前eax=0x401377,即我們的記憶體斷點地址。

分析彙編：

004193A2 |. A3 3C814D00 mov dword ptr [4D813C], eax //將記憶體斷點地址儲存到0x4d813c處
004193A7 |. 8BC8 mov ecx, eax //ecx=eax=0x401377 記憶體斷點地址
004193A9 |. 03C2 add eax, edx //edx為記憶體斷點位元組長度，這裡是取記憶體斷點結束地址，本例中，eax=0x401377+6=0x40137d
004193AB |. 81E1 00F0FFFF and ecx, FFFFF000 //相當於去該記憶體地址所在的記憶體頁起始地址 ecx=0x401000
004193B1 |. 05 FF0F0000 add eax, 0FFF //將記憶體斷點結束地址加上了一個記憶體頁大小
004193B6 |. 8915 40814D00 mov dword ptr [4D8140], edx //將記憶體斷點長度儲存到0x4d8140
004193BC |. 25 00F0FFFF and eax, FFFFF000 //取該記憶體地址所在的記憶體頁地址
004193C1 |. 890D 44814D00 mov dword ptr [4D8144], ecx //將記憶體斷點坐在記憶體也的起始地址儲存到0x4d8144處
004193C7 |. F6C7 10 test bh, 10 //設定zf屬性，執行後，zf=1
004193CA |. A3 48814D00 mov dword ptr [4D8148], eax //本例中eax=402000
004193CF |. 0F95C0 setne al //if zf=1 then al=0, if zf=0 then al=1
004193D2 |. 83E0 01 and eax, 1 //之後 eax=0x00000000
004193D5 |. 83E3 03 and ebx, 3 //ebx之前儲存的是記憶體斷點屬性(訪問or 寫)
004193D8 |. A3 38814D00 mov dword ptr [4D8138], eax //儲存這個不知道有何用途
004193DD |. C705 5C8D4D00>mov dword ptr [4D8D5C], 1
004193E7 |. 85DB test ebx, ebx
004193E9 |. 74 04 je short 004193EF
004193EB |. 85FF test edi, edi //edi存的是記憶體斷點位元組長度
004193ED |. 75 04 jnz short 004193F3 //跳轉成功
004193EF |> 33C0 xor eax, eax
004193F1 |. EB 2B jmp short 0041941E
004193F3 |> 83FB 02 cmp ebx, 2 //ebx與2 比較，判斷是否是記憶體寫屬性
004193F6 |. 75 0C jnz short 00419404 //不是則跳轉到0x419404（訪問屬性）
004193F8 |. C705 4C814D00>mov dword ptr [4D814C], 20 //記憶體寫屬性，則將0x20儲存在0x4d814c
00419402 |. EB 0A jmp short 0041940E
00419404 |> C705 4C814D00>mov dword ptr [4D814C], 1 //記憶體訪問屬性，將0x01儲存在0x4d814c
0041940E |> 833D 5C5A4D00>cmp dword ptr [4D5A5C], 3
00419415 |. 75 05 jnz short 0041941C
00419417 |. E8 18FCFFFF call 00419034
0041941C |> 33C0 xor eax, eax
0041941E |> 5F pop edi
0041941F |. 5E pop esi
00419420 |. 5B pop ebx
00419421 |. 5D pop ebp
00419422 \. C3 retn

通過對上面的彙編程式碼的分析，我們基本上可以定位記憶體斷點資訊的儲存地址：0x4d8138~0x4d814f ,本例如圖：

0x4d8138~0x40813b:0x00000000 未知

0x4d813c~0x4d813f: 0x00401377 記憶體斷點起始地址

0x4d8140~0x4d8143: 0x00000006 記憶體斷點長度

0x4d8144~0x4d8147: 0x00401000 記憶體斷點地址所在的記憶體頁起始地址

0x4d8148~0x4d814b: 0x00402000 記憶體斷點尾部地址+記憶體也大小地址後，所在的記憶體頁起始地址（這裡有所疑問，為什麼要加上0xfff，而不是直接取記憶體斷點尾部地址所在的記憶體頁起始地址，本例中，應該也是0x401000）。

0x4d814c~0x4d814f:0x00000001 記憶體斷點屬性（訪問：0x00000001,寫：0x00000020,與ebx區分開）

對該段記憶體的賦值其實在初始化一個結構體，該結構體儲存記憶體斷點相關資訊：

Typedef struct membrakpointinfo

{

Dword unrecognized;//0x4d8138~0x40813b 未知

Dwordmemaddr; //0x4d813c~0x4d813f 記憶體斷點起始地址

Dword size; //0x4d8140~0x4d8143:0x00000006 記憶體斷點長度

Dword base1; //0x4d8144~0x4d8147記憶體斷點地址所在的記憶體頁起始地址

Dword base2; //0x4d8148~0x4d814b:0x00402000 記憶體斷點尾部地址+記憶體也大小地址後，所在的記憶體頁起始地址

Dword memtype; //0x4d814c~0x4d814f 記憶體斷點屬性

}

Windows記憶體詳解（四）OD記憶體斷點初步分析

記憶體斷點原理：

IDA靜態分析：

OD除錯OD動態分析：

Windows記憶體詳解（四）OD記憶體斷點初步分析

Windows 記憶體詳解（三）Windows記憶體管理

elastic-job詳解（四）：失效轉移

郵件實現詳解（四）------JavaMail 發送（帶圖片和附件）和接收郵件

Quartz學習——SSMM(Spring+SpringMVC+Mybatis+Mysql)和Quartz集成詳解（四）

07-Linux中DNS詳解（四）

編碼原理詳解（四）---之字形掃描

Nginx詳解（四）模塊

Zookeeper詳解（四）：Zookeeper中的zkCli.sh客戶端使用

CentOS 7.4 Tengine安裝配置詳解（四）

Keepalived詳解（四）

PE文件格式詳解（四）

PE檔案格式詳解（四）

安卓專案實戰之強大的網路請求框架okGo使用詳解（四）：Cookie的管理

【SpringBoot學習之路】08.Springboot配置檔案詳解（四）

Java 反射機制詳解（四）

Redis底層詳解（四）整數集合

Scala入門詳解（四）

spring事務詳解（四）測試驗證

Tkinter 元件詳解（四）：Radiobutton

Windows記憶體詳解（四）OD記憶體斷點初步分析

記憶體斷點原理：

IDA靜態分析：

OD除錯OD動態分析：

相關推薦