目录 恶意代码分析实战五:OllyDebug动态结合 OllyDebug界面介绍 OllyDebug载入程序方法 OllyDebug地址跳转 OllyDebug下断点 OllyDebug单步执行 OllyDebug查看内存窗口数据 OllyDebug分析函数 IDA和OllyDebug动态结合 OllyDebug载入符号表 OllyDebug得到答案 总结: 恶意代码分析实战五:OllyDebug动态结合 这一节课,主要是利用OD对目标程序进行动态分析,从而学习OllyDebug的使用. ---

继续开发 ; hello-os ; TAB= ORG 0x7c00 ; 指明程序的装载地址 ; 以下的记述用于标准FAT12格式的软盘 JMP entry DB 0x90 DB "HELLOIPL" ; 启动区的名称 DW ; 每个扇区(sector)的大小 DB ; 簇(cluster)的大小 DW ; FAT的起始位置 DB ; FAT的个数 DW ; 根目录的大小 DW ; 该磁盘的大小 DB 0xf0 ; 磁盘的种类 DW ; FAT的长度 DW ; 1个磁道(track)有几

附表:Keil C51中的优化级别及优化作用 级别说明 0 常数合并:编译器预先计算结果,尽可能用常数代替表达式.包括运行地址计算. 优化简单访问:编译器优化访问8051系统的内部数据和位地址. 跳转优化:编译器总是扩展跳转到最终目标,多级跳转指令被删除. 1  死代码删除:没用的代码段被删除. 拒绝跳转:严密的检查条件跳转,以确定是否可以倒置测试逻辑来改进或删除. 2    数据覆盖:适合静态覆盖的数据和位段被确定,并内部标识.BL51连接/定位器可以通过全局数据流分析,选择可被覆盖的段. 3

一.CPU如何执行指令 CPU上有数以亿计的晶体管组层的复杂电路,我们先不用管具体电路如何实现:逻辑上我们可以认为CPU由许多寄存器组成,而这些寄存器又由许多锁存器和触发器组成,N个锁存器或触发器就可以构成一个N位寄存器,例如64位CPU是指其寄存器是64位的. CPU中有以下三种典型的寄存器,这里重点讲一下: PC寄存器:用来存放下一条要执行指令的存储地址: 指令寄存器:存放当前正在执行的指令: 条件寄存器:内部用一个标记位保存CPU算数运算或逻辑运算的结果: 程序执行时CPU不断依据PC寄存

有关某个命令的详细信息,请键入 HELP 命令名ASSOC 显示或修改文件扩展名关联.ATTRIB 显示或更改文件属性.BREAK 设置或清除扩展式 CTRL+C 检查.BCDEDIT 设置启动数据库中的属性以控制启动加载.CACLS 显示或修改文件的访问控制列表(ACL).CALL 从另一个批处理程序调用这一个.CD 显示当前目录的名称或将其更改.CHCP 显示或设置活动代码页数.CHDIR 显示当前目录的名称或将其更改.CHKDSK 检查磁盘并显示状态报告.CHKNTFS 显示或修改启动时间

音频转换: 1.转换amr到mp3: ffmpeg -i shenhuxi.amr amr2mp3.mp3 2.转换amr到wav: ffmpeg -acodec libamr_nb -i shenhuxi.amr amr2wav.wav 3.转换mp3到wav: ffmpeg -i DING.mp3 -f wav test.wav 4.转换wav到amr: ffmpeg -i test.wav -acodec libamr_nb -ab .2k - -ac wav2amr.amr ffmpeg

以debian 6.0.1 为例: 服务开启关闭: Usage: /etc/init.d/atd {start|stop|restart|force-reload|status} 设置一次计划任务(at): wangss@test:~$ at : -- warning: commands will be executed using /bin/sh at> sudo /root/clean.py at> <EOT> job at Sat Sep :: 查询待执行的任务(atq):

调试SQLSERVER (三)使用Windbg调试SQLSERVER的一些命令 调试SQLSERVER (一)生成dump文件的方法调试SQLSERVER (二)使用Windbg调试SQLSERVER的环境设置 windbg命令分为标准命令.元命令.扩展命令 标准命令提供最基本的调试功能,不区分大小写.如:bp g dt dv k等 元命令提供标准命令没有提供的功能,也内建在调试引擎中,以.开头.如.sympath .reload等 扩展命令用于扩展某一方面的调试功能,实现在动态加载的扩展模块中

以前玩游戏遇到一些实在过不去的管卡,经常会找一些游戏修改软件来修改游戏,让自己变得无比强大,将boss一路砍瓜切菜过足游戏瘾.其实游戏修改软件的功能大多都比较简单,我们可以通过windbg的一些简单命令同样也可以实现. 在这片文章中我们会通过一个简单的winform登录程序来演示将一系列简单调试命令联合运用,破解登录程序. 测试程序 登录程序界面 登录验证代码 private void btnLogin_Click(object sender, EventArgs e) { if (txtUse

在调试过程中难免会遇到需要反编译代码来分析逻辑的时候,在windbg中,需要反编译代码就要用到u/ub/uf这三个命令.本文这里分别介绍这三个命令各自的用途. 以下是一个quick sort的实例代码,将其编译成可执行文件,然后通过windbg运行. #include <stdio.h> #include <string.h> #define MAXLINES 5000 #define MAXLEN 1000 #define ALLOCSIZE 10000 static char

本文介绍windbg动态调试过程中一个非常有用的命令,wt的用法. wt命令 wt命令之所以称为wt是因为它是watch and trace的简称,即用来观察和跟踪的命令.这个命令一般用在动态调试而不是dump分析中.他的作用是跟踪程序的执行过程,并将每个执行的调用打印到输出. 我们先准备一个简单的斐波那契计算代码,然后通过wt命令来追踪这个程序的执行. #include "tchar.h" #include <iostream> using namespace std;

在网上找到的一个有效方案是在.bash_profile 中增加颜色定义 export LS_COLORS='di=01;35:ln=01;36:pi=40;33:so=01;35:do=01;35:bd=40;33;01:cd=40;33;01:or=40;31;01:su=37;41:sg=30;43:tw=30;42:ow=34;42:st=37;44:ex=01;32:*.tar=01;31:*.tgz=01;31:*.arj=01;31:*.taz=01;31:*.lzh=01;31:*

 1 内存中字的存储 一个字型数据占2个内存单元,内存里面一个内存单元一个字节(8位),高地址单位放高8位,低地址单元放低8位. 注意:0号是地址单元,1是高地址单元(上是低地址,下面是高地址) (1) 2地址单元中存放的 字节型 数据是 12H (2)2地址单元的存放法 字型 数据是 0012H (字型要2个字节) (3) 1地址单元的存放的 字型 数据是 124EH 结论: 任何2个地址连续的内存单元,N号和N+1号,可以看成2个内存单元, 也可以看成一个地址为N的字单元中的高字节单元(n+

在安装一些东西时,可能操作上不小心把路径覆盖或打错,造成一些基本命令如ls mkdir等无法使用,就会出现以下提示错误. 错误: 由于/usr/bin 不在PATH 环境变量中,故无法找到该命令 根本原因还是PATH环境变量有问题,没设置好. 解决: ubuntu1404@ubuntu-desktop:~$ exprot declare -x CLUTTER_IM_MODULE="xim"declare -x COLORTERM="gnome-terminal"de

逆向破解这块我也是个刚起步的小菜,入门都还算不上吧,看了点基础教程,先动手练习一下增加点兴趣.嘿嘿 工具: peid         //查壳工具 OllyDebug    //反汇编.动态调试工具 简称OD 壳的概念: 作者编好软件后,编译成exe可执行文件. 1.有一些版权信息需要保护起来,不想让别人随便改动,如作者的姓名等,即为了保护软件不被破解,通常都是采用加壳来进行保护. 2.需要把程序搞的小一点,从而方便使用.于是,需要用到一些软件,它们能将exe可执行文件压缩, 3.在黑客界给木马

•MOV与ADD指令 汇编指令 控制CPU完成的操作 形式化语法描述 mov ax, 18 将18送入AX (AX)=18 mov   ah, 78 将78送入AH (AH)=78 add ax, 8 将AX中的数值加8 (AX)=(AX)+8 mov ax, bx 将BX中数据送入AX (AX)=(BX) add   ax, bx 将AX.BX内容相加,结果存入AX (AX)=(AX)+(BX) •说明:汇编指令不区分大小写:两个操作数必须位数一致. •Debug命令 ▫R命令:查看.改变CP

1.FS寄存器 2.进入FS寄存器地址,7FFDD000 3.偏移30为PED结构 4.偏移地址10 3C,44偏移:路径地址,命令行地址 // 通过PEB结构去查找所有进程模块 void *PEB = NULL; void *Pbi = { NULL }; // fs:[30]就是PEB __asm { mov eax, fs:[0x30] mov PEB, eax } // 通过PEB查找 Pbi = *((void **)((unsigned char *)PEB+ 0x10)); voi

一.linux CPU大小  cat /proc/cpuinfo |grep "model name" && cat /proc/cpuinfo |grep "physical id" 说明:Linux下可以在/proc/cpuinfo中看到每个cpu的详细信息.但是对于双核的cpu,在cpuinfo中会看到两个cpu.常常会让人误以为是两个单核的cpu.其实应该通过Physical Processor ID来区分单核和双核.而Physical Pr

经常进行文件管理操作的朋友们,不满意于Windows系统内置的复制功能,因为它太龟速了.于是大家就使用FastCopy.TeraCopy之类的软件来加速复制,但是你是否知道Windows 7已经内置快速复制的功能? 这项功能就是RoboCopy,它是一个命令行的目录复制命令,自从Windows NT 4.0 开始就成为windows 资源工具包的一部分,然后在Windows Vista.Windows 7和 Windows Server 2008采用作为标准的功能.Windows 7的此项功能也

一般在实际使用编辑器的过程中 , 常需要执行替换文件中的字符串.移动.删除.与搜寻数据行等等动作.当然 , 一般交互式编辑器(如 vi.emacs)都能做得到上述功能 , 但文件一旦有大量上述编辑需求时 , 则用它们编辑十分没有效率.本文列举一些常用的sed的使用范例,以备不时之需. 替换数据 1.把开头/结尾为str1的行替换为str2: sed -i 's/^str1.*/str2/' filename ###以str1开头 sed -i 's/.*str1$/str2/' filename