OD软件断点原理

文章目录

• • int 3
  • OD
  • Hex_Editor
  • 补充

软件断点即int 3—-l调试器利用EXCEPTION_BREAKPOINT异常实现断点功能。

int 3

设置断点命令对应的汇编指令为，对应的机器指令的也就是。CPU运行代码的过程中若遇到汇编指令，则会触发EXCEPTION_BREAKPOINT异常。在调试器某个地址设置断点后，确定该地址处的指令是否真会变为（）p>

OD

解释：
其实，这是耍的一个小花招，由于中按设置的断点是用户用来调试的临时断点（User Temporary Break Point），所以不需要在调试画面中显示。在代码与内存中显示出来的话，大大降低了代码的可读性，给代码调试带来不便。换言之，实际进程内存中的“”已经换成“CC”，但为了调试方便，所以呢，OD就没有显示出来。我们只需要把这个程序dump出来，然后放进Hex_Editor查看一下这个位置的数据即可。

偏移问题：
此程序的为100000，所以1003E21对应的 是（=-）。由于dump程序是直接由这个程序进程内存转储而来的，所以就是（文件偏移量）

Hex_Editor

补充

问题一：，改成int 3，那不就破坏了原来的指令的完整性吗strong>
后来，我又仔细想了想，改成int 3，那不就破坏了原来的指令的完整性吗不改回来，那后面指令解析那就全变了，指令对齐那些，直接影响一大片，也就是以后设置断点还得找nop地方才能设置实却根本不是这样。。

问了一下大佬，这个问题解释是这样的：它会先把下断点的位置的前一句代码改成int 3 然后 等到运行到这里时，再把它改回来

问题二：什么时机改回来strong>
然后我又想：啥时候改回来改回来这个时机 既能 引发断点异常，又能 不改变原来的指令解析int 3 ，引发异常了，说明把int 3执行完了，然后它有改回来再改回来已经没意义了吧经执行完那个点了，然后再改回来那个地方的指令，确定没影响p>

这个问题解释是这样的：先，调试器把断点处的第一个字节改成0XCC，当接收到继续运行的消息时，调试器会先把这个int 3断点修复成原来的字节，然后会执行eip-1这个操作，把int 3改掉的代码继续执行，好家伙，有eip-1的话，那么就很正常了