[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

14 五月

星期四, 14 五月 2020 10:09 Last Updated on 星期四, 14 五月 2020 10:09 0 Comments

这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特出来与博友们学习，希望您喜欢，一起进步。前文了Vulnhub靶机渗透题目bulldog，包括信息收集及目录扫描、源码解读及系统登陆、命令注入和shell反弹、权限提升和获取flag。这篇文章将讲解逆向分析之OllyDbg动态调试工具，包括INT3断点、反调试、硬件断点和内存断点。基础性文章，希望对您有所帮助。
同时建议先看前一篇文章：逆向分析之OllyDbg动态调试工具（一）基础入门及TraceMe案例分析

作者作为网络安全的小白，一些自学基础教程给大家，主要是关于安全工具和实践操作的在线笔记，希望您们喜欢。同时，更希望您能与我一起操作和进步，后续将深入学习网络安全和系统安全知识并相关实验。总之，希望该系列文章对博友有所帮助，写文不易，大神们不喜勿喷，谢谢！如果文章对您有帮助，将是我创作的最大动力，、评论、私聊均可，一起加油喔~

文章目录

一.常用断点之INT3断点

PS：本文参考了github、安全网站和参考文献中的文章（详见参考文献），并结合自己的经验和实践进行撰写，也推荐大家阅读参考文献。

作者的github资源：
软件安全：https://github.com/eastmountyxz/Software-Security-Course
其他工具：https://github.com/eastmountyxz/NetworkSecuritySelf-study
逆向分析：https://github.com/eastmountyxz/Reverse-Analysis-Case

声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。

前文欣赏：
[渗透&攻防] 一.从数据库原理学习网络攻防及防止SQL注入
 [渗透&攻防] 二.SQL MAP工具从零解读数据库及基础用法
 [渗透&攻防] 三.数据库之差异备份及Caidao利器
 [渗透&攻防] 四.详解MySQL数据库攻防及Fiddler神器分析数据包

一.常用断点之INT3断点

1.查看INT3断点

INT3断点对应OD中的F2断点，有时也称为CC断点。为什么叫CC断点呢？因为转换成硬编码之后就是CC，我们来查看CC断点。

首先，我们用OD打开程序TraceMe.exe

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

打开之后会自动定位至004013A0，接着再下一行增加断点（按F2），即INT3断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

但OD中并没有显示CC，我们打开Cheat Engine软件。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

然后在OD按下F9运行，弹出如下图对话框。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着在CE中选择该程序TraceMe打开。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

然后点击“手动加入地址”，输入地址“4013A1”。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着选中数据并右键点击“显示未十六进制”。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

由于采用小端存储，故“FF6AECCC”是从右往左数的，如下图所示。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

如果我们选择“4字节”点击，然后选择“Byte”，可以转换成1个字节，因为CC就占用一个字节，我们主要是观察它的。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

为什么OD不显示CC呢？
其实OD是为了不破坏源代码的完整性，默认隐藏掉了。

2.INT3原理

接着我们分析INT3的原理。程序运行中，OD会检查汇编指令有没有INT3，即机器码有没有CC指令。如果存在，就会引发并捕获这个异常，程序就中断在此处，然后OD会删除INT3，还原原来的代码，接着继续运行我们的程序。

执行流程的原理可归纳为：

替换指令，换成INT3指令或CC硬编码
OD检测到INT3指令之后会引发一个异常并且捕获它，这时候程序就会中断
删除INT3指令，还原之前的指令

优点：

可以无限的下INT3断点

缺点：

很容易被检测

为什么要详细介绍断点的原理呢？
只有了解每个断点的原理之后，以后做爆破才知道应该下什么样的断点合适。

3.INT3例子

接下来我们举个INT3断点的例子，使用OD打开TraceMe.exe程序，设置API断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

这里勾选“GetDlgItemTextA”函数。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着输入用户名和序列号，按F9运行程序。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

代码会停在“761F4390”位置，我们接着用CE看看它是不是CC断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着以十六进制显示，并只显示一字节，发现的确是CC断点。所以，CC断点很容易被检测出来。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

二.INT3断点的反调试与反反调试

我们编写的软件被爆破时，总会被下INT3断点，我们能不能写个程序防止别人下CC断点，从而保护我们的程序呢？这个就叫反调试，而反反调试是绕过保护过程。

反调试：保护这个程序
反反调试：爆破这个程序

基础知识：

FARPROC结构体
GetProcAddress函数
它是一个计算机函数，功能是检索指定的动态链接库(DLL)中的输出库函数地址
LoadLibrary函数
将指定的模块加载到调用进程的地址空间中

接着我们用VS编写代码讲解。LoadLibrary函数会返回一个句柄，然后调用GetProcAddress函数。GetProcAddress返回值包括：

如果函数调用成功，返回值是DLL中的输出函数地址
如果函数调用失败，返回值是NULL。得到进一步的错误信息，调用函数GetLastError

FARPROC GetProcAddress(     HMODULE hModule, // DLL模块句柄     LPCSTR lpProcName    // 函数名 );

第一步，我们打开VS编写C++代码。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

下列代码是获取MessageBoxA函数的首地址，并判断是否为CC断点。

#include <iostream> #include <Windows.h> int main() { //获取MessageBoxA的首地址  FARPROC addr = GetProcAddress(LoadLibrary(L"user32.dll"), "MessageBoxA"); //仅获取首地址的第一个字节  byte byteAddr = *(byte *)addr; //弹框 ::MessageBoxA(NULL, "内容", "标题", MB_OK); //判断地址 if(byteAddr == 0xCC) { //检测到有人在调试我们的程序 退出程序 printf("检测到非法调试"); } else { printf("代码正常"); } getchar(); }

在VS中输入上述代码。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

第二步，运行前，需要简单设置。

设置Release

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

设置属性

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

禁用Spectre缓解

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

设置随机基址否

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

第三步，接着运行代码
运行结果如下图所示：

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

显示代码正常执行。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

第四步，使用OD调试程序
接下来我们尝试调试这个EXE程序，用OD打开“ConsoleApplication1.exe”。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

OD打开如下图所示：

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

然后点击“插件”->“API断点设置工具”->“常用断点设置”，给MessageBoxA下断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

运行OD，断点位于761E0F40位置，对应user32.MessageBoxA。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

继续运行代码。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

查看调试信息，发现检测到非法调试，也表明我们的判断没有问题。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

第五步，删除断点对比执行结果
接着按下“b”删除断点，继续运行代码。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

发现代码正常运行。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

这就是一个INT3断点的反调试过程。
那么，怎么进行反反调试呢？我们又怎么下INT3断点呢？

我们进入函数之后，可以将断点下到中间或尾部即可。OD重新打开程序，并找到MessageBoxA的位置。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

我们在中间位置下断点，如下图所示 761E0F45处。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着F9运行程序，发现此时输出“代码正常”，该断点并没有被检测出来，这就是所谓的反反调试。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

三.常用断点之硬件断点原理解析

硬件断点和调试寄存器有关，共有8个调试寄存器DR0~DR7。

DR0~DR3： 保存断点地址。由于只有4个硬件断点寄存器，所以同时最多只能设置4个硬件断点
DR4~DR5： 系统保留
DR6： 状态寄存器，显示哪个硬件调试寄存器引发的断点。如果是Dr0-Dr3的话，相应位会被置1。如果是Dr0引发的断点，则Dr6的第0位被置1；如果是Dr1引发的断点，则Dr6的第1位被置1，依次类推。因为硬件断点同时只会触发一个，所以Dr6的低4位最多只有一位被置1，所以在进入单步后，我们可以通过检测Dr6的低4位是否有1的位，就可以判断该单步是否是因为硬件断点被断下的。如果是硬件断点被断下的，进而可以通过Dr6的哪一位为1来判断是由Dr0-Dr3中的哪个断点断下的。
DR7： 控制寄存器。设置相应控制位，用于控制断点的方式

原理：

DR0~DR3保存我们断点的地址
DR7寄存器设置相对应的控制位
程序执行到该地址时，CPU会向OD发送异常信息
程序会执行中断操作，等待用户操作

优点：

速度快，比INT3快，因为INT3需要改汇编代码，而硬件断点使用寄存器
不容易被检测

缺点：

最多只能下4个硬件断点

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着我们继续用OD分析TraceMe.exe为例，打开之后定位至004013A0位置。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

选择004013B6位置，右键“断点”->“硬件执行”。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

这样就增加了一个硬件断点，当CPU运行到该地址会发送一场信息中断。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

如何查看硬件断点呢？点击“调试”->“硬件断点”可以查看刚打的硬件断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着按下F9运行程序，它会停在硬件断点位置。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

四.常用断点之内存断点原理解析

在介绍内存断点之前，首先需要知道什么是内存属性。内存属性包括Read、Write、Execute的组合，即可读、可写、可执行。比如VirtualProtectEx函数，可以改变在特定进程中内存区域的保护属性。

内存断点就是根据内存属性来实现的，比如想对一个地址打个内存访问断点，就是把这个地址的内存属性改为不可访问（不可读写执行），当程序运行到此处时，就会产生一个异常被OD捕获，从而中断程序。

原理：

设置完内存断点之后，它就是对这个地址赋予了不可读、不可写、不可执行的属性
程序运行到这里之后，会产生一个异常
OD捕获这个异常，然后程序中断，实现了一个内存断点

优点：

没有改变汇编代码，改变的是内存属性
游戏爆破时，如果常规断点没效果，可以尝试内存断点

接下来我们想在004013D0位置代码增加内存断点，对应代码：

mov dword ptr ds:[0x405528],edx

该代码就是一个写操作，edx往ds:[0x405528]中写入一个值。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

选择数据窗口中跟随。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

然后再数据窗口中选择4个字节，右键“断点”->“内存写入”或“内存访问”。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

然后按下F9运行，此时断到了此处。证明我们内存写入断点已经生效。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接下来补充内存读写断点和硬件读写断点的区别。

以刚才的代码为例，我们先删除刚才的内存断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

接着OD重新打开EXE程序，数据窗口跟随到405528。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

选中4字节，设置其为“硬件写入”断点。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

运行代码，此时硬件断点断在了下一行位置004013D6。

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

至此，内存断点和硬件断点介绍完毕！

五.总结

写到这里，这篇文章就介绍完毕，希望您喜欢~

常用断点之INT3断点
1.查看INT3断点
2.INT3原理
3.INT3例子
INT3断点的反调试与反反调试
常用断点之硬件断点原理解析
常用断点之内存断点原理解析

这篇文章中如果存在一些不足，还请海涵。作者作为网络安全初学者的慢慢成长路吧！希望未来能更透彻撰写相关文章。同时非常感谢参考文献中的安全大佬们的文章，感谢师傅、师兄师弟、师姐师妹们的教导，深知自己很菜，得努力前行。

欢迎大家讨论，是否觉得这系列文章帮助到您！任何建议都可以评论告知读者，共勉。

(By:Eastmount 2020-05-13 中午12点写于贵阳 https://blog.csdn.net/eastmount/ )

参考文章：
[1] 动态调试工具之OllyDbg(OD)教程 – B站yxfzedu
[2] [逆向笔记] OD工具使用-逆向TraceMe.exe- 17bdw随手笔记
[3]《加密与解密》段钢等著
[4]《OllyDBG入门教程》看雪学院 – CCDebuger
[5] 160个Crackme006 – 鬼手56大佬
[6] [调试逆向] 硬件断点的原理与实现 – 52PJ VicZ
[7] https://github.com/eastmountyxz/Reverse-Analysis-Case
[8] Cheat Engine 基本用法 – thomas_blog

Eastmount

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

博客专家

原创文章 463获赞 6742访问量 526万+

关注他的留言板

展开阅读全文

1
评论
x
海报

扫一扫，海报
手机看

到微信朋友圈

x

扫一扫，手机阅读
打赏

打赏

Eastmount

“你的鼓励将是我创作的最大动力”

5C币 10C币 20C币 50C币 100C币 200C币

确定

杨秀璋的专栏

04-30 [网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏- 1451

[网络安全自学篇] 七十二.逆向分析之OllyDbg动态调试工具（一）基础入门及TraceMe案例分析

这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特出来与博友们学习，希望您们喜欢，一起进步。前文了外部威胁防护和勒索病毒对抗。这篇文章将讲解逆向分析OllyDbg动态调试…

本页所有内容来自官方网站 https://www.imapbox.com 新闻来源：互联网搜索引擎和新闻站

本网页所有图片由 ImageBox 图片批量下载器,网页图片批量下载专家,网页图片批量下载器,获取到文章图片，下载并得到。

ImageBox 图片批量下载器工具地址: 网页图片批量下载工具-最新版本下载

非凡下载站地址：https://www.crsky.com/soft/35838.html

本网页所有视频内容由 imoviebox边看边下-网页视频下载, iurlBox网页地址收藏管理器下载并得到。

ImovieBox网页视频下载器下载地址: ImovieBox网页视频下载器-最新版本下载

本文章由: imapbox邮箱云存储,邮箱网盘,ImageBox 图片批量下载器,网页图片批量下载专家,网页图片批量下载器,获取到文章图片,imoviebox网页视频批量下载器,下载视频内容,为您提供.

阅读和此文章类似的: 全球云计算

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

文章目录

一.常用断点之INT3断点

1.查看INT3断点

2.INT3原理

3.INT3例子

二.INT3断点的反调试与反反调试

三.常用断点之硬件断点原理解析

四.常用断点之内存断点原理解析

五.总结

[网络安全自学篇] 七十二.逆向分析之OllyDbg动态调试工具（一）基础入门及TraceMe案例分析

文章目录

近期文章

官方链接

关于我们

软件产品

事业方向

联系我们

ImapBox Technology Research Group

[网络安全自学篇] 七十六.逆向分析之OllyDbg动态调试工具（二）INT3断点、反调试、硬件断点与内存断点网络杨秀璋的专栏-

文章目录

一.常用断点之INT3断点

1.查看INT3断点

2.INT3原理

3.INT3例子

二.INT3断点的反调试与反反调试

三.常用断点之硬件断点原理解析

四.常用断点之内存断点原理解析

五.总结

[网络安全自学篇] 七十二.逆向分析之OllyDbg动态调试工具（一）基础入门及TraceMe案例分析

文章目录

近期文章

官方链接

关于我们

软件产品

事业方向

联系我们

ImapBox Technology Research Group

登录